Bonds

**Nome do Software Vulnerável e Versões Afetadas** Shuffle versões anteriores a 1.9 **Descrição** O tema Shuffle para WordPress contém uma falha de Local File Inclusion (Inclusão de Arquivo Local). Isso permite que atacantes não autenticados incluam e executem arquivos arbitrários no servidor, possibilitando a execução de código PHP dentro desses arquivos. Este problema pode ser utilizado para ignorar controles de acesso, recuperar dados sensíveis ou alcançar a execução remota de código caso imagens ou outros tipos de arquivos aparentemente seguros possam ser carregados e posteriormente incluídos. **Recomendações** Atualize o tema Shuffle para uma versão posterior à 1.8.

**Nome do Software Vulnerável e Versões Afetadas** Flatsome versões anteriores a 3.20.6 **Descrição** O tema Flatsome para WordPress contém um problema de controle de acesso quebrado causado por uma verificação de capacidade ausente em uma função. Isso permite que usuários autenticados com permissões de nível de assinante ou superior realizem ações não autorizadas. **Recomendações** Atualize para uma versão posterior a 3.20.5.

**Nome do Software Vulnerável e Versões Afetadas** Flatsome versões anteriores a 3.20.6 **Descrição** O tema Flatsome para WordPress contém um problema de controle de acesso quebrado causado por uma verificação de capacidade ausente em uma função. Isso permite que atacantes autenticados com permissões de nível de contribuidor ou superior realizem ações não autorizadas. **Recomendações** Atualize para uma versão posterior a 3.20.5.

**Nome do Software Vulnerável e Versões Afetadas** BEAR versões anteriores a 1.1.9 **Descrição** Existe um problema de Cross Site Scripting (XSS) não autenticado, que permite a um invasor executar scripts maliciosos no navegador de um usuário sem a necessidade de autenticação prévia. **Recomendações** Atualize o BEAR para uma versão posterior à 1.1.8.

**Nome do Software Vulnerável e Versões Afetadas** SureCart versões anteriores a 4.3.3 **Descrição** Ocorre Cross-Site Scripting (XSS) Refletido devido à sanitização de entrada e escape de saída insuficientes. Isso permite que atacantes não autenticados injetem scripts web arbitrários em páginas, que são executados quando um usuário é enganado para realizar uma ação, como clicar em um link. **Recomendações** Atualize o SureCart para uma versão posterior a 4.3.2.

**Nome do Software Vulnerável e Versões Afetadas** TablePress versões anteriores a 3.3.2 **Description** Uma falha de cross-site scripting (XSS) não autenticada permite que conteúdo de script malicioso seja injetado por meio de entrada controlada pelo usuário renderizada pelo plugin. O problema decorre da validação de entrada e escape de saída inadequados, permitindo a execução de scripts armazenados ou refletidos em páginas geradas pelo plugin. Um invasor remoto pode enviar payloads manipulados que executam código do lado do cliente no navegador de visitantes ou administradores do site, podendo levar ao sequestro de sessão, roubo de credenciais, falsificação de ações administrativas e controle total do site. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** Kastell versões anteriores a 2.1 **Descrição** Um problema de Inclusão de Arquivo Local (LFI) não autenticado existe no tema WordPress Kastell. Local File Inclusion é uma falha que permite a um invasor incluir arquivos no servidor por meio da aplicação web, podendo levar à divulgação de informações sensíveis. **Recomendações** Atualize para uma versão posterior a 2.0.

**Nome do Software Vulnerável e Versões Afetadas** wpDataTables versões anteriores a 7.3.7 **Descrição** Existe uma Injeção de SQL não autenticada no plugin wpDataTables. A Injeção de SQL é um tipo de vulnerabilidade que permite que um invasor interfira nas consultas que um aplicativo faz ao seu banco de dados, potencialmente permitindo que ele visualize dados que normalmente não conseguiria recuperar. **Recomendações** Atualize para uma versão posterior a 7.3.6.

**Nome do Software Vulnerável e Versões Afetadas** Nifty versões 1.4.1 e anteriores **Descrição** O PHP Object Injection não autenticado permite que um invasor injete objetos maliciosos na aplicação. O PHP Object Injection ocorre quando a entrada fornecida pelo usuário é passada para a função `unserialize()` sem a validação adequada, podendo levar à execução remota de código. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** JetSearch versões anteriores a 3.5.18 **Descrição** Uma Injeção de SQL não autenticada permite que um invasor interfira nas consultas que uma aplicação faz ao seu banco de dados. Isso ocorre no plugin JetSearch para WordPress. **Recomendações** Atualize para uma versão posterior a 3.5.17.

**Nome do Software Vulnerável e Versões Afetadas** JetEngine versões anteriores a 3.8.9.1 **Descrição** Uma Injeção de SQL não autenticada existe devido à escape insuficiente de parâmetros fornecidos pelo usuário e à falta de preparação adequada das consultas SQL. Isso permite que atacantes anexem consultas SQL adicionais a consultas existentes para extrair informações sensíveis do banco de dados. **Recomendações** Atualize o JetEngine para a versão 3.8.9.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Elementor Website Builder versões anteriores a 4.1.0 **Descrição** Uma falha de autorização ausente permite a exploração de níveis de segurança de controle de acesso configurados incorretamente. **Recomendações** Atualize para uma versão posterior a 4.1.0.

**Nome do Software Vulnerável e Versões Afetadas** ElementsKit Elementor addons Lite versões anteriores a 3.9.7 **Description** Uma falha de autorização ausente no Wpmet ElementsKit Elementor addons Lite permite a exploração de níveis de segurança de controle de acesso configurados incorretamente. Trata-se de uma falha de controle de acesso interrompido, na qual o sistema não verifica adequadamente se um usuário possui as permissões necessárias para realizar uma ação. **Recommendations** Atualize para uma versão posterior a 3.9.6.

**Nome do Software Vulnerável e Versões Afetadas** ElementsKit Elementor addons Lite versões anteriores a 3.9.7 **Description** Uma falha de autorização ausente no Wpmet ElementsKit Elementor addons Lite permite a exploração de níveis de segurança de controle de acesso configurados incorretamente. Trata-se de uma falha de controle de acesso interrompido, na qual o sistema não verifica adequadamente se um usuário possui as permissões necessárias para realizar uma ação. **Recommendations** Atualize para uma versão posterior a 3.9.6.

**Nome do Software Vulnerável e Versões Afetadas** Elementra versões anteriores a 1.1.0 **Descrição** O Elementra está suscetível a PHP Object Injection, uma condição em que uma aplicação desserializa entradas não confiáveis, permitindo que um invasor injete um Objeto PHP. Embora não haja uma POP chain (uma sequência de gadgets usada para alcançar a execução de código) presente no próprio software, a presença de uma POP chain via outro plugin ou tema instalado poderia permitir que um invasor não autenticado execute código, recupere dados sensíveis ou exclua arquivos arbitrários. **Recomendações** Atualize para uma versão posterior à 1.0.9.

Name of the Vulnerable Software and Affected Versions Brainstorm Force Ultimate Addons for WPBakery Page Builder versões anteriores a 3.21.4 Description Brainstorm Force Ultimate Addons for WPBakery Page Builder é suscetível a um problema de Cross-Site Scripting (XSS) baseado em DOM devido à neutralização inadequada de entrada durante a geração de páginas web. Isso permite a potencial execução de código malicioso dentro do contexto do navegador de um usuário. Recommendations Atualize o Brainstorm Force Ultimate Addons for WPBakery Page Builder para a versão 3.21.4 ou posterior.

**Name of the Vulnerable Software and Affected Versions** ThemeFusion Avada Core versions prior to 5.15.0 **Description** An issue exists in ThemeFusion Avada Core fusion-core that allows for DOM-Based Cross-site Scripting (XSS). This occurs due to improper neutralization of input during web page generation. The issue affects the way user-supplied data is handled, potentially allowing an attacker to inject malicious scripts into web pages viewed by other users. **Recommendations** Versions prior to 5.15.0 should be updated to version 5.15.0 or later.

**Name of the Vulnerable Software and Affected Versions** ThemeFusion Fusion Builder versions prior to 3.15.0 **Description** An authorization issue exists in ThemeFusion Fusion Builder’s `fusion-builder`. This allows exploitation of incorrectly configured access control security levels. **Recommendations** Update ThemeFusion Fusion Builder to version 3.15.0 or later.

**Name of the Vulnerable Software and Affected Versions** ThemeFusion Fusion Builder versions prior to 3.15.0 **Description** A missing authorization issue exists in ThemeFusion Fusion Builder, allowing exploitation of incorrectly configured access control security levels. The issue allows unauthorized access due to improper configuration of access controls. **Recommendations** Update ThemeFusion Fusion Builder to version 3.15.0 or later.

**Name of the Vulnerable Software and Affected Versions** ThemeFusion Avada Core versions prior to 5.15.0 **Description** A missing authorization check exists in ThemeFusion Avada Core `fusion-core`, allowing exploitation of incorrectly configured access control security levels. The issue allows unauthorized access due to improperly set security controls. **Recommendations** Update ThemeFusion Avada Core to version 5.15.0 or later.