Akshat Parikh

**Nome do Software Vulnerável e Versões Afetadas** JetBackup WordPress plugin versões anteriores a 3.1.23.5 **Description** Ocorrem verificações de autorização multisite insuficientes antes de servir arquivos de backup e logs de tarefas. Isso permite que um administrador do site principal da rede, que não possua privilégios de Super Admin, baixe um backup completo de toda a rede, incluindo a raiz web compartilhada e os dados de todos os sites. **Recommendations** Atualize o JetBackup WordPress plugin para a versão 3.1.23.5 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Ray Enterprise Translation versões anteriores a 1.7.4 **Descrição** O plugin Ray Enterprise Translation para WordPress não realiza verificações de capacidade ou de nonce em uma ação AJAX. Isso permite que qualquer usuário autenticado, incluindo aqueles com privilégios de Assinante, sobrescreva o token da API de tradução configurado pelo administrador com um valor arbitrário. Um nonce é um token único usado para proteger contra falsificação de requisição cross-site. **Recomendações** Atualize o plugin para a versão 1.7.4 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Ray Enterprise Translation versões anteriores a 1.7.4 **Descrição** O plugin Ray Enterprise Translation para WordPress não realiza verificações de capacidade ou de nonce em uma ação AJAX. Isso permite que qualquer usuário autenticado, incluindo aqueles com privilégios de Assinante, adicione ou exclua os idiomas configurados no site. Um nonce é um token único usado para proteger contra falsificação de solicitação cross-site (CSRF), garantindo que a solicitação foi enviada intencionalmente pelo usuário. **Recomendações** Atualize o plugin para a versão 1.7.4 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** PhonePe Payment Solutions WordPress plugin versões anteriores a 3.1.0 **Description** Ocorre uma verificação insuficiente de callbacks de pagamento recebidos porque o segredo usado para validar a assinatura do callback permanece vazio durante o fluxo de configuração padrão. Consequentemente, a assinatura esperada torna-se um hash não chaveado do corpo da requisição, que pode ser calculado por qualquer pessoa. Isso permite que atacantes não autenticados forjem notificações de sucesso de pagamento para marcar pedidos do WooCommerce não pagos como pagos sem que ocorra o pagamento real. **Recommendations** Atualize o PhonePe Payment Solutions WordPress plugin para a versão 3.1.0 ou posterior.

**Name of the Vulnerable Software and Affected Versions** Ability, Inc Web Accessibility with Max Access versions through 2.1.0 **Description** The software contains a flaw due to improper neutralization of input during web page generation, specifically a Stored Cross-site Scripting issue. This allows for the injection of malicious scripts. The vulnerability exists within the accessibility-toolbar component. **Recommendations** Update to a version newer than 2.1.0.

**Name of the Vulnerable Software and Affected Versions** Apache Traffic Server versions 9.0.0 through 9.2.2 **Description** The issue is related to an Improper Input Validation vulnerability in Apache Traffic Server, specifically with malformed HTTP/2 frames. Users are recommended to upgrade to a fixed version. **Recommendations** For Apache Traffic Server versions 9.0.0 through 9.2.2, upgrade to version 9.2.3, which fixes the issue.