Farid Narimanov

The Rox Appointment Booking WordPress plugin before 1.2.3 does not perform any authorization check on the endpoint that returns a booking's confirmation details, and each booking is addressed by a sequential numeric identifier, allowing unauthenticated attackers to read any customer's name, email, phone, booking details and payment status by enumerating that identifier.

The Orbit Fox: Duplicate Page, Menu Icons, SVG Support, Cookie Notice, Custom Fonts & More WordPress plugin before 3.0.9 does not validate a user-supplied HTML tag name in one of its Beaver Builder widgets before echoing it into the rendered markup, allowing users with contributor-level access and above to inject arbitrary web scripts that execute when any visitor views the affected page.

The Sunshine Photo Cart WordPress plugin before 3.7 does not validate that a client-supplied price identifier belongs to the item being purchased when it is added to the cart, allowing unauthenticated users to buy items at a lower price defined elsewhere on the site and complete an order at that price, resulting in financial loss for the site owner.

🚨 CVE-2026-85038 The B2BKing — Ultimate WooCommerce B2B and Wholesale Plugin — Wholesale Prices, Bulk Order Form & More WordPress plugin before 5.2.40 does not verify that a role selected during registration is one actually offered on the registration form, allowing unauthenticated users to assign themselves to restricted B2B customer groups and to skip the manual account-approval workflow during self-registration. 🎖@cveNotify

**Nome do Software Vulnerável e Versões Afetadas** Stripe Payment Forms by WP Full Pay versões anteriores a 8.5.5 **Description** Existe uma Referência Direta Insegura a Objeto (IDOR) onde o plugin não verifica se uma assinatura pertence ao cliente associado à sessão ativa do portal do cliente antes de processar o cancelamento. Isso permite que um usuário autenticado com uma sessão de portal válida cancele assinaturas de outros clientes, desde que conheça o identificador específico da assinatura. Este identificador possui alta entropia, o que significa que é uma string complexa e difícil de adivinhar ou enumerar. **Recommendations** Atualize o Stripe Payment Forms by WP Full Pay para a versão 8.5.5 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** WP OAuth Server ( Login with WordPress ) versões anteriores a 6.3.1 **Description** Quando o log de depuração está ativado, o plugin não restringe o acesso ao seu arquivo de log. Como o log é armazenado em um local fixo e publicamente acessível, usuários não autenticados podem ler informações sensíveis, incluindo tokens OAuth emitidos, códigos de autorização e registros de usuários contendo hashes de senhas. **Recommendations** Atualize para a versão 6.3.1 ou posterior. Como medida de mitigação temporária, desative o log de depuração para evitar a criação do arquivo de log publicamente acessível.

**Nome do Software Vulnerável e Versões Afetadas** Masteriyo LMS versões anteriores a 2.3.3 **Descrição** O plugin falha ao sanitizar e escapar um campo de quiz antes de exibi-lo em uma página. Isso permite que usuários com a função de instrutor armazenem HTML não filtrado, possibilitando ataques de Cross-Site Scripting (XSS) Armazenado—uma técnica onde scripts maliciosos são armazenados permanentemente no servidor e executados no navegador de qualquer visitante, incluindo administradores. Este problema afeta instalações padrão de site único; no entanto, instalações multisite ou sites que definem `DISALLOW UNFILTERED HTML` não são afetados. **Recomendações** Atualize o Masteriyo LMS para a versão 2.3.3 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Extra Product Options Builder for WooCommerce versões anteriores a 1.2.176 **Description** Existe um problema onde o plugin não verifica se o solicitante está autorizado a acessar um arquivo enviado por um cliente antes de fornecê-lo. Isso permite que usuários não autenticados recuperem arquivos caso obtenham o nome armazenado do arquivo. A exploração deste problema depende da configuração do servidor web; afeta servidores que respeitam regras de negação total (deny-all) em diretórios de upload, como o Apache. Em servidores onde tais regras são ignoradas, como em configurações padrão do nginx, os arquivos já estão acessíveis via URL direta, e o endpoint `getpublicfileupload` não expõe informações adicionais. **Recommendations** Atualize o Extra Product Options Builder for WooCommerce para a versão 1.2.176 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Visualizer versões anteriores a 4.0.7 **Description** A autorização insuficiente no plugin permite que usuários com a função de Colaborador (Contributor) ou superior leiam a configuração completa de qualquer gráfico no site. Isso inclui gráficos que a interface normalmente restringe e permite a recuperação de todas as configurações de gráficos em uma única requisição. A configuração exposta pode conter credenciais de fontes de dados remotas utilizadas pelos gráficos. **Recommendations** Atualize para a versão 4.0.7 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Simple JWT Login versões anteriores a 3.6.8 **Descrição** O plugin não valida a audiência dos tokens de identidade do Google que ele aceita. Isso permite que usuários não autenticados se autentiquem como qualquer usuário, incluindo administradores, fornecendo um token que contenha o endereço de e-mail do usuário alvo. **Recomendações** Atualize o Simple JWT Login para a versão 3.6.8 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Premium Packages versões anteriores a 7.0.7 **Descrição** Existe um problema onde as solicitações de retirada não são validadas em relação ao saldo real ganho pelo usuário solicitante. Isso permite que qualquer usuário autenticado, incluindo aqueles com a função de assinante e sem histórico de vendas, envie uma solicitação de pagamento por um valor arbitrário. Se um administrador aprovar a solicitação, os fundos podem ser pagos. **Recomendações** Atualize o Premium Packages para a versão 7.0.7 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** WP Helper Premium versões anteriores a 4.7.6 **Description** Ocorre uma verificação insuficiente da chave do pedido ao renderizar a página de confirmação de pedido personalizada ou ao processar ações AJAX relacionadas. Isso permite que usuários não autenticados visualizem informações pessoais e detalhes de pedidos de outros clientes, bem como alterem o estado de pedidos arbitrários. Este problema requer que o WooCommerce esteja ativo e que o módulo opcional de página de confirmação de pedido do plugin esteja habilitado. **Recommendations** Atualize o WP Helper Premium para a versão 4.7.6 ou posterior. Como medida de mitigação temporária, desative o módulo opcional de página de confirmação de pedido.

**Nome do Software Vulnerável e Versões Afetadas** ShopEngine Elementor WooCommerce Builder Addon versões anteriores a 4.9.3 **Descrição** Um endpoint de autenticação não está protegido contra Cross-Site Request Forgery (CSRF), um tipo de ataque que força um usuário autenticado a executar ações indesejadas em uma aplicação web. Essa falha permite que um invasor registre uma vítima em uma conta controlada pelo invasor. Consequentemente, quaisquer detalhes de faturamento e envio que a vítima insira durante o processo de checkout são armazenados e podem ser lidos pelo invasor. **Recomendações** Atualize o ShopEngine Elementor WooCommerce Builder Addon para a versão 4.9.3 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** User Access Manager versões anteriores a 2.3.15 **Description** O plugin User Access Manager para WordPress não aplica restrições de acesso às requisições da REST API. Isso permite que atacantes não autenticados leiam o conteúdo de postagens, páginas e tipos de postagens personalizadas que deveriam estar restritos a grupos de usuários específicos. **Recommendations** Atualize o User Access Manager para a versão 2.3.15 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** WP Photo Album Plus versões anteriores a 9.2.09.002 **Description** Uma falha de autorização ocorre ao processar uploads front-end, na qual o sistema não verifica se o usuário atual tem permissão para fazer upload no álbum de destino. Isso permite que qualquer usuário autenticado, incluindo aqueles com a função de Assinante, envie arquivos para álbuns pertencentes a outros usuários ou ao administrador. Este problema só pode ser explorado se o recurso de upload de usuário front-end estiver habilitado. **Recommendations** Atualize para a versão 9.2.09.002 ou posterior. Desative o recurso de upload de usuário front-end para mitigar o risco.

**Nome do Software Vulnerável e Versões Afetadas** WPC Admin Columns versões anteriores a 2.3.4 **Description** O plugin WPC Admin Columns para WordPress não possui verificações de autorização em uma ação AJAX. Isso permite que usuários com funções básicas, como assinante, leiam metadados arbitrários de usuários, postagens e termos, incluindo dados pertencentes a administradores. **Recommendations** Atualize o WPC Admin Columns para a versão 2.3.4 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Contact Form to Any API versões anteriores a 3.0.7 **Descrição** O plugin não utiliza nomes de arquivos aleatórios ao copiar arquivos enviados por formulários de contato para um diretório acessível publicamente. Isso permite que invasores não autenticados enumerem e baixem arquivos enviados por outros usuários. **Recomendações** Atualize para a versão 3.0.7 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Product Input Fields for WooCommerce versões anteriores a 2.0.2 **Description** Existe um problema onde o plugin não valida os tipos de arquivos carregados quando a configuração `accepted-types` é deixada vazia. Esta configuração, que é anunciada na documentação como uma forma de aceitar todos os arquivos, permite que atacantes não autenticados façam o upload de arquivos arbitrários. Isso pode levar à execução remota de código em servidores que não aplicam as regras de acesso ao diretório. **Recommendations** Atualize o Product Input Fields for WooCommerce para a versão 2.0.2 ou posterior. Evite deixar a configuração `accepted-types` vazia para impedir o upload de arquivos arbitrários.

**Nome do Software Vulnerável e Versões Afetadas** Block User Account versões anteriores a 2.0.1 **Descrição** O plugin não aplica o bloqueio de conta em todos os caminhos de autenticação. Isso permite que um usuário bloqueado, que possua uma senha de aplicativo criada antes do bloqueio, mantenha acesso total de leitura e gravação no nível de função através da REST API. **Recomendações** Atualize para a versão 2.0.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** RSS Aggregator by Feedzy versões anteriores a 5.2.6 **Description** O plugin não verifica se o usuário solicitante é o proprietário ou tem permissão para editar o trabalho de importação especificado. Isso permite que usuários com nível de acesso de autor ou superior excluam permanentemente postagens criadas pelo trabalho de importação de outro usuário, desativem o trabalho, limpem seu log de erros ou resetem seu estado de agendamento e deduplicação. Além disso, devido à falta de verificações de tipo de objeto em uma das ações afetadas, postagens e páginas arbitrárias podem ser despublicadas, independentemente de quem seja o proprietário. **Recommendations** Atualize o RSS Aggregator by Feedzy para a versão 5.2.6 ou posterior.