Bao Le

**Nome do Software Vulnerável e Versões Afetadas** DevKit Pro plugin for WordPress versões anteriores a 2.3.1 **Description** Uma falha de autorização existe devido à ausência de verificação de capacidade e validação de nonce na função `DPDEV install themes func()` registrada na ação `wp ajax DPDEV install themes`. Isso permite que atacantes autenticados com nível de acesso Assinante (Subscriber) ou superior instalem pacotes ZIP de temas arbitrários contendo arquivos PHP. Esses arquivos são extraídos no diretório `wp-content/themes/`, acessível via web, o que pode permitir a execução remota de código. **Recommendations** Atualize o plugin DevKit Pro para WordPress para uma versão posterior a 2.3.0. Como medida de mitigação temporária, restrinja o acesso à função `DPDEV install themes func()`.

**Nome do Software Vulnerável e Versões Afetadas** Aimogen Pro - All-in-One AI Content Writer, Editor, ChatBot & Automation Toolkit versões anteriores a 2.8.5 **Descrição** Este problema permite que invasores não autenticados realizem a escalada de privilégios. A falha ocorre porque a função `aiomatic call google ai function()` não possui uma verificação de capacidade adequada. Um invasor pode explorar isso utilizando a ferramenta `aimogen wp god mode` para limpar listas negras de funções e executar funções PHP arbitrárias, as quais podem ser usadas para criar contas de administrador. **Recomendações** Atualize para uma versão posterior à 2.8.4. Como medida paliativa temporária, restrinja o acesso à função `aiomatic call google ai function()` até que a atualização seja aplicada.