Dayea Song

**Name of the Vulnerable Software and Affected Versions** Country Blocker for AdSense plugin for WordPress versions prior to 1.1 **Description** The software is susceptible to Cross-Site Request Forgery (CSRF) due to the absence of nonce validation in the `CBFA guardar cbfa()` function. This allows unauthenticated attackers to modify the plugin’s settings by deceiving a site administrator into performing an action, such as clicking a malicious link. **Recommendations** Update to version 1.1 or later.

**Name of the Vulnerable Software and Affected Versions** Page Title, Description & Open Graph Updater plugin for WordPress versions prior to 1.03 **Description** The plugin is susceptible to Cross-Site Request Forgery (CSRF) due to the absence of nonce validation on several AJAX actions, including `dieno update page title`. This allows attackers to update page titles and metadata by forging requests, provided they can trick a site administrator into performing an action, such as clicking a link. **Recommendations** Update the Page Title, Description & Open Graph Updater plugin to version 1.03 or later.

**Name of the Vulnerable Software and Affected Versions** Stopwords for Comments WordPress Plugin versions prior to 1.2 **Description** The Stopwords for Comments plugin for WordPress is susceptible to Cross-Site Request Forgery. This is caused by a lack of nonce validation in the `set stopwords for comments` and `delete stopwords for comments` functions. An unauthenticated attacker can add or delete stopwords by forging a request, provided they can trick a site administrator into performing an action, such as clicking a link. **Recommendations** Update Stopwords for Comments to version 1.2 or later.

**Name of the Vulnerable Software and Affected Versions** Sosh Share Buttons plugin for WordPress versions prior to 1.1.1 **Description** The Sosh Share Buttons plugin for WordPress is susceptible to Cross-Site Request Forgery (CSRF). This is a result of the absence of nonce validation within the `admin page content` function. An unauthenticated attacker could potentially modify the plugin’s settings by forging a request, provided they can deceive a site administrator into performing an action, such as clicking a malicious link. **Recommendations** Update the Sosh Share Buttons plugin to version 1.1.1 or later.

**Name of the Vulnerable Software and Affected Versions** WPBlogSyn versions prior to 1.1 **Description** The WPBlogSyn plugin for WordPress is susceptible to Cross-Site Request Forgery (CSRF). This is a result of inadequate or missing nonce validation. An unauthenticated attacker could potentially modify the plugin’s remote sync settings by deceiving a site administrator into performing an action, such as clicking a malicious link. **Recommendations** Update the WPBlogSyn plugin to version 1.1 or later.

**Name of the Vulnerable Software and Affected Versions** SVG Map Plugin for WordPress versions prior to 1.0.1 **Description** The software is susceptible to Cross-Site Request Forgery (CSRF) due to missing or incorrect nonce validation on multiple AJAX actions. Specifically, the AJAX actions ‘save data’, ‘delete data’, and ‘add popup’ lack proper validation. This allows attackers to potentially update the plugin’s settings, delete map data, and inject malicious web scripts by tricking a site administrator into performing an action. **Recommendations** Update to version 1.0.1 or later.

**Name of the Vulnerable Software and Affected Versions** Mamurjor Employee Info plugin for WordPress versions up to and including 1.0.0 **Description** The software is susceptible to Cross-Site Request Forgery (CSRF) due to the absence of nonce validation on several administrative functions. This allows unauthenticated attackers to create, update, or delete employee records, departments, designations, salary grades, education records, and salary payments by deceiving a site administrator into performing an action, such as clicking a link. **Recommendations** Update the Mamurjor Employee Info plugin to a version beyond 1.0.0.

**Name of the Vulnerable Software and Affected Versions** xShare plugin for WordPress versions up to and including 1.0.1 **Description** The xShare plugin for WordPress is susceptible to Cross-Site Request Forgery. This is caused by a lack of nonce validation within the `xshare plugin reset()` function. An unauthenticated attacker could potentially reset the plugin’s settings by deceiving a site administrator into performing an action, such as clicking a malicious link. **Recommendations** Update the xShare plugin to a version beyond 1.0.1.

**Nome do Software Vulnerável e Versões Afetadas** Plugin Web to SugarCRM Lead para WordPress versões até e incluindo a 1.0.0 **Descrição** O plugin Web to SugarCRM Lead para WordPress está suscetível a Falsificação de Solicitação Entre Sites (CSRF). Isso é causado pela falta de validação de nonce ao excluir campos personalizados. Um atacante não autenticado poderia potencialmente excluir campos personalizados ao induzir um administrador do site a realizar uma ação, como clicar em um link malicioso. **Recomendações** Atualize o plugin Web to SugarCRM Lead para uma versão superior à 1.0.0.

**Nome do Software Vulnerável e Versões Afetadas** Plugin Popover Windows para WordPress em versões anteriores à 1.3 **Descrição** O plugin Popover Windows para WordPress apresenta uma vulnerabilidade onde dados podem ser modificados sem a devida autorização. Isso ocorre devido à ausência de verificação de capacidades em várias ações AJAX, incluindo `pop submit` e `poptheme submit`. Um atacante autenticado com acesso de nível de assinante ou superior pode potencialmente modificar as configurações e o conteúdo do plugin. **Recomendações** Atualize o plugin Popover Windows para a versão 1.3 ou superior.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Popover Windows até e incluindo a 1.2 **Descrição** O plugin Popover Windows para WordPress está suscetível a Cross-Site Request Forgery devido à validação de nonce ausente ou incorreta. Isso permite que atacantes não autenticados modifiquem as configurações do plugin forjando requisições, desde que consigam enganar um administrador do site para realizar uma ação, como clicar em um link. **Recomendações** Atualize o Popover Windows para uma versão superior à 1.2.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Simple Theme Changer anteriores à 1.1 **Descrição** O plugin Simple Theme Changer para WordPress está suscetível a Cross-Site Request Forgery (CSRF) devido à validação de nonce inadequada ou ausente. Isso permite que atacantes não autenticados modifiquem as configurações do plugin elaborando uma solicitação maliciosa, o que depende de enganar um administrador do site para realizar uma ação, como clicar em um link. **Recomendações** Atualize o Simple Theme Changer para a versão 1.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Wpik WordPress Basic Ajax Form versões até e incluindo a 1.0 **Descrição** O plugin Wpik WordPress Basic Ajax Form para WordPress apresenta uma vulnerabilidade de Cross-Site Scripting (XSS) Armazenado devido à sanitização de entrada e escape de saída inadequados. Um atacante autenticado com acesso de nível de Contribuidor ou superior pode injetar scripts web arbitrários via o parâmetro `dname`. Esses scripts serão executados quando um usuário acessar a página injetada. **Recomendações** Atualize o Wpik WordPress Basic Ajax Form para uma versão superior à 1.0.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Simple Theme Changer anteriores à 1.1 **Descrição** O plugin Simple Theme Changer para WordPress possui uma falha que permite a modificação não autorizada de dados. Isso se deve à ausência de uma verificação de capacidade nas ações `user theme admin`, `display method admin` e `set change theme button name`. Atacantes autenticados com acesso de nível de assinante ou superior podem modificar as configurações do plugin. **Recomendações** Atualize o Simple Theme Changer para a versão 1.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Truefy Embed até e incluindo a 1.1.0 **Descrição** O plugin Truefy Embed para WordPress é suscetível a Cross-Site Request Forgery devido à ausência de validação de nonce na ação de atualização de configurações `truefy embed options update`. Isso permite que atacantes não autenticados modifiquem as configurações do plugin, incluindo a chave de API, ao criar uma solicitação forjada, desde que consigam enganar um administrador do site para que execute uma ação. **Recomendações** Atualize o plugin Truefy Embed para uma versão superior à 1.1.0.

**Nome do Software Vulnerável e Versões Afetadas** IMAQ Core versões anteriores a 1.2.2 **Descrição** O plugin está sujeito a Cross-Site Request Forgery (CSRF), uma falha na qual um invasor engana a vítima para realizar ações que ela não pretendia fazer. Isso ocorre devido à ausência de validação de nonce—uma medida de segurança usada para garantir que uma solicitação foi enviada intencionalmente pelo usuário—na funcionalidade de atualização das configurações de estrutura de URL. Atacantes não autenticados podem explorar isso para modificar as configurações de estrutura de URL do plugin ao induzir um administrador do site a clicar em um link malicioso. **Recomendações** Atualize o plugin para a versão 1.2.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Rabbit Hole versões anteriores a 1.2 **Descrição** O plugin está sujeito a Cross-Site Request Forgery (CSRF), uma falha na qual um invasor engana uma vítima para realizar ações que ela não pretendia fazer. Isso ocorre devido à validação de nonce incorreta ou ausente—um token de segurança usado para garantir que as solicitações sejam intencionais—na funcionalidade de reset. Atacantes não autenticados podem redefinir as configurações do plugin enganando um administrador do site para clicar em um link ou carregar uma tag de imagem, já que a operação de reset é executada via requisição GET. **Recomendações** Atualize o plugin para a versão 1.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Purchase and Expense Manager versões anteriores a 1.1.3 **Description** Ocorre Cross-Site Request Forgery devido à falta de validação de nonce na função `sup pt handle deletion()`. Um nonce é um token único usado para proteger contra requisições forjadas. Esta falha permite que atacantes não autenticados excluam registros de compras arbitrários ao enganar um administrador do site para clicar em um link malicioso. **Recommendations** Atualize o plugin para uma versão posterior a 1.1.2. Como medida paliativa temporária, restrinja o acesso à função `sup pt handle deletion()` até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** Plugin Norby AI para WordPress nas versões até e incluindo 1.0.3 **Descrição** O software é vulnerável a Falsificação de Solicitação Entre Sites (CSRF) devido à ausência de validação de nonce na funcionalidade de atualização de configurações. Isso permite que atacantes não autenticados modifiquem as configurações do plugin e injetem scripts web maliciosos, induzindo um administrador do site a realizar uma ação, como clicar em um link. **Recomendações** Atualize o plugin Norby AI para WordPress para uma versão superior à 1.0.3.

**Nome do Software Vulnerável e Versões Afetadas** plugin dream gallery para WordPress versões anteriores à 1.0 **Descrição** O plugin dream gallery para WordPress é vulnerável a Falsificação de Solicitação Entre Sites (CSRF). Isso é resultado de uma validação de nonce inadequada ou ausente na ação AJAX `dreampluginsmain`. Um atacante não autenticado poderia potencialmente atualizar as configurações do plugin e injetar scripts web maliciosos ao induzir um administrador do site a realizar uma ação, como clicar em um link. **Recomendações** Atualize o plugin dream gallery para uma versão superior à 1.0.