Dutafi

**Nome do Software Vulnerável e Versões Afetadas** CP Media Player versões anteriores a 1.3.1 **Descrição** Cross Site Scripting (XSS) não autenticado permite que um invasor execute scripts maliciosos no navegador de um usuário sem a necessidade de autenticação. **Recomendações** Atualize o CP Media Player para uma versão posterior à 1.3.0.

**Nome do Software Vulnerável e Versões Afetadas** Kadence Shop Kit versões anteriores a 3.0.7 **Descrição** Existe um problema que permite que um usuário com privilégios de assinante realize uma Injeção de SQL. Isso ocorre quando a aplicação falha ao sanitizar adequadamente a entrada usada em consultas ao banco de dados, permitindo que um invasor manipule a estrutura da consulta. **Recomendações** Atualize o Kadence Shop Kit para a versão 3.0.7 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Readabler versões anteriores a 2.0.18 **Descrição** Existe um problema onde invasores não autenticados podem realizar SQL Injection, uma técnica usada para interferir nas consultas que um aplicativo faz ao seu banco de dados. Isso ocorre devido à escape insuficiente de parâmetros fornecidos pelo usuário e à falta de preparação adequada da consulta SQL, permitindo que invasores anexem consultas adicionais para extrair informações sensíveis do banco de dados. **Recomendações** Atualize para a versão 2.0.18 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** WP Project Manager Pro versões anteriores a 4.0.2 **Descrição** A falta de escape adequado em parâmetros fornecidos pelo usuário e a preparação insuficiente em consultas SQL permitem que atacantes autenticados, com nível de acesso de Assinante (Subscriber) ou superior, realizem SQL Injection. Isso ocorre quando consultas SQL adicionais são anexadas a consultas já existentes, permitindo a extração de informações sensíveis do banco de dados. **Recomendações** Atualize o WP Project Manager Pro para a versão 4.0.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Ultimate Dashboard versões anteriores a 3.11.3 **Descrição** Existe um problema de Cross Site Scripting (XSS) não autenticado, que permite a um invasor executar scripts maliciosos no navegador de um usuário sem a necessidade de autenticação prévia. **Recomendações** Atualize o Ultimate Dashboard para a versão 3.11.3 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Simple Link Directory versões anteriores a 15.0.6 **Descrição** Existe um problema de Cross Site Scripting (XSS) não autenticado, que permite a um invasor executar scripts maliciosos no navegador de um usuário sem a necessidade de autenticação prévia. **Recomendações** Atualize o Simple Link Directory para uma versão posterior à 15.0.5.

**Nome do Software Vulnerável e Versões Afetadas** Customize My Account for WooCommerce versões anteriores a 4.4.0 **Descrição** Ocorre Cross-Site Scripting (XSS) Refletido devido à sanitização de entrada e escape de saída insuficientes. Isso permite que atacantes não autenticados injetem scripts web arbitrários em páginas, que são executados quando um usuário é enganado para realizar uma ação, como clicar em um link. **Recomendações** Atualize para uma versão posterior a 4.3.9.

**Nome do Software Vulnerável e Versões Afetadas** CodePeople Post Map for Google Maps versões anteriores a 1.2.6 **Descrição** Ocorre Cross-Site Scripting (XSS) Armazenado devido à sanitização de entrada e escape de saída insuficientes. Isso permite que atacantes não autenticados injetem scripts web arbitrários em páginas, que são executados sempre que um usuário acessa a página afetada. **Recomendações** Atualize o CodePeople Post Map for Google Maps para a versão 1.2.6 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** ARForms versões anteriores a 7.1.3 **Descrição** Existe um problema de Cross Site Scripting (XSS) não autenticado, que permite a um invasor executar scripts maliciosos no navegador de um usuário sem a necessidade de autenticação prévia. **Recomendações** Atualize para uma versão posterior a 7.1.2.

**Nome do Software Vulnerável e Versões Afetadas** Buddyboss Platform versões anteriores a 3.0.5 **Descrição** Ocorre a Injeção de Objeto PHP quando uma aplicação desserializa dados não confiáveis, permitindo que um invasor manipule a lógica da aplicação ou execute código arbitrário ao injetar objetos maliciosos no objeto `Subscriber`. **Recomendações** Atualize o Buddyboss Platform para a versão 3.0.5 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** perfmatters versões anteriores a 2.6.4 **Descrição** Existe um problema de Cross Site Scripting (XSS) não autenticado, que permite a um invasor executar scripts maliciosos no navegador de um usuário sem a necessidade de autenticação prévia. **Recomendações** Atualize para uma versão posterior a 2.6.3.

**Nome do Software Vulnerável e Versões Afetadas** Directorist Booking versões anteriores a 3.0.4 **Description** A neutralização inadequada de elementos especiais usados em um comando SQL no wpWax Directorist Booking permite Blind SQL Injection. Blind SQL Injection é uma técnica na qual um invasor faz perguntas de verdadeiro ou falso ao banco de dados e determina a resposta com base na resposta da aplicação. **Recommendations** Atualize para uma versão posterior a 3.0.3.

**Nome do Software Vulnerável e Versões Afetadas** WPFunnels Pro versões anteriores a 2.9.5 **Descrição** O plugin WPFunnels Pro para WordPress contém uma falha de Cross-Site Scripting (XSS) Armazenado. Este problema ocorre devido à sanitização insuficiente de entrada e escape insuficiente de saída, permitindo que atacantes não autenticados injetem scripts web arbitrários em páginas. Esses scripts são executados automaticamente sempre que um usuário acessa a página afetada. **Recomendações** Atualize para uma versão posterior à 2.9.4.

**Nome do Software Vulnerável e Versões Afetadas** Thrive Apprentice versões anteriores a 10.8.10.2 **Descrição** Existe uma Injeção de Objeto PHP não autenticada devido à desserialização de entradas não confiáveis. Isso permite que um invasor injete um Objeto PHP. Embora não haja uma POP chain (uma sequência de gadgets usada para alcançar a execução de código) presente no próprio software, a presença de uma POP chain via outro plugin ou tema instalado poderia permitir a exclusão de arquivos arbitrários, a recuperação de dados sensíveis ou a execução remota de código. **Recomendações** Atualize para a versão 10.8.10.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** miniOrange WordPress Social Login and Register versões até a 7.7.0 **Descrição** O software contém uma falha relacionada ao controle inadequado de nome de arquivo para declarações include/require, especificamente uma questão de Inclusão Remota de Arquivos PHP. Isso permite a Inclusão Local de Arquivos PHP. O software `miniOrange WordPress Social Login and Register` é afetado. **Recomendações** Atualize para uma versão superior à 7.7.0.

**Nome do Software Vulnerável e Versões Afetadas** NEX-Forms – Ultimate Forms Plugin para WordPress versões até a 9.1.6 **Descrição** O software está suscetível a Injeção de SQL através do parâmetro `orderby` dentro da ação `nf load form entries`. A sanitização de entrada insuficiente e a preparação inadequada de consultas SQL permitem que atacantes autenticados com acesso de nível de Administrador ou superior injetem consultas SQL adicionais, potencialmente extraindo informações sensíveis do banco de dados. Usuários com privilégios inferiores também podem ser capazes de explorar esta vulnerabilidade se tiverem acesso concedido por um administrador do site. **Recomendações** Atualize o NEX-Forms – Ultimate Forms Plugin para WordPress para uma versão posterior à 9.1.6.