Daniel Dhaniswara

**Nome do Software Vulnerável e Versões Afetadas** WatchMan-Site7 versões anteriores a 4.2.1 **Descrição** Existe um problema no console de depuração do plugin WatchMan-Site7 devido ao gerenciamento inadequado da geração de código. O console não restringe o acesso, permitindo que qualquer usuário autenticado, como um assinante, execute código PHP arbitrário no servidor. **Recomendações** Atualize o plugin para a versão 4.2.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Salon Booking System versões anteriores a 10.30.34 **Descrição** O plugin não realiza verificações de capacidade nem valida o valor de estado do OAuth durante o callback de autorização do Google Calendar. Como este callback está disponível para usuários não autenticados, um invasor pode sobrescrever os tokens de conexão do Google Calendar armazenados com tokens controlados pelo invasor, sequestrando a integração. A exploração requer que o site tenha configurado seu próprio cliente Google OAuth para o recurso de calendário. **Recomendações** Atualize o plugin para a versão 10.30.34 ou posterior.