Hhhai

**Nome do Software Vulnerável e Versões Afetadas** LatePoint – Calendar Booking Plugin for Appointments and Events versões anteriores a 5.6.2 **Descrição** Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes não autenticados podem modificar informações de identificação pessoal, incluindo nome, sobrenome, número de telefone e notas, de qualquer registro de cliente existente, inclusive aqueles vinculados a contas de administrador. Isso é feito enviando o formulário de reserva com um endereço de e-mail de cliente conhecido. O problema é explorável quando o plugin está configurado para permitir reservas de convidados, o que permite a execução do caminho de código não autenticado vulnerável na função `process step customer()`. **Recomendações** Atualize para uma versão posterior à 5.6.1. Como medida de mitigação temporária, desative as reservas de convidados para evitar que a função `process step customer()` seja acessada por usuários não autenticados.

**Nome do Software Vulnerável e Versões Afetadas** Booktics versões anteriores a 1.0.22 **Descrição** O plugin Booktics para WordPress permite que atacantes não autenticados realizem a Injeção de Objeto PHP através da desserialização de entradas não confiáveis. A Injeção de Objeto PHP ocorre quando uma aplicação desserializa dados de uma fonte não confiável, potencialmente permitindo que um atacante manipule as propriedades do objeto. Embora não haja uma POP chain presente no software, a presença de uma POP chain via outro plugin ou tema instalado poderia permitir a exclusão de arquivos arbitrários, a recuperação de dados sensíveis ou a execução remota de código. **Recomendações** Atualize para uma versão posterior à 1.0.21.

**Nome do Software Vulnerável e Versões Afetadas** WP Job Portal versões anteriores a 2.5.3 **Descrição** O plugin WP Job Portal para WordPress contém uma falha onde a escape insuficiente de parâmetros fornecidos pelo usuário e a falta de preparação adequada de consultas SQL permitem que atacantes autenticados com nível de acesso de contribuidor ou superior realizem SQL Injection. Isso permite que o atacante anexe consultas SQL adicionais às já existentes para extrair informações sensíveis do banco de dados. **Recomendações** Atualize o plugin para uma versão posterior a 2.5.2.

**Nome do Software Vulnerável e Versões Afetadas** WP Post Author versões anteriores a 3.9.2 **Descrição** O plugin WP Post Author para WordPress contém uma falha onde a escape insuficiente de parâmetros fornecidos pelo usuário e a falta de preparação adequada de consultas SQL permitem que atacantes autenticados com nível de acesso de contribuidor ou superior realizem SQL Injection. Isso permite que o atacante anexe consultas SQL adicionais a consultas existentes para extrair informações sensíveis do banco de dados. **Recomendações** Atualize para uma versão posterior a 3.9.1.

**Nome do Software Vulnerável e Versões Afetadas** WC Vendors Marketplace versões anteriores a 2.6.9 **Descrição** O plugin WC Vendors – WooCommerce Multivendor, WooCommerce Marketplace, Product Vendors para WordPress contém uma falha onde a escape insuficiente de parâmetros fornecidos pelo usuário e a falta de preparação adequada de consultas SQL permitem que atacantes autenticados com nível de acesso de assinante ou superior realizem SQL Injection. Isso permite a adição de consultas SQL maliciosas a consultas existentes para extrair informações sensíveis do banco de dados. **Recomendações** Atualize para uma versão posterior a 2.6.8.

**Nome do Software Vulnerável e Versões Afetadas** Premmerce Wishlist for WooCommerce versões anteriores a 1.1.12 **Descrição** Uma Injeção de SQL não autenticada existe no plugin Premmerce Wishlist for WooCommerce para WordPress. O problema ocorre devido à escape insuficiente de parâmetros fornecidos pelo usuário e à falta de preparação adequada da consulta SQL. Isso permite que um invasor anexe consultas SQL adicionais às consultas existentes para extrair informações sensíveis do banco de dados. **Recomendações** Atualize o Premmerce Wishlist for WooCommerce para a versão 1.1.12 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** VeronaLabs Slimstat Analytics versões anteriores a 5.4.12 **Descrição** A Neutralização Imprópria de Elementos Especiais usados em um Comando SQL permite a ocorrência de Blind SQL Injection. Isso acontece quando a aplicação não sanitiza adequadamente os dados fornecidos pelo usuário antes de incluí-los em uma consulta ao banco de dados, permitindo que um invasor infira informações do banco de dados ao observar a resposta da aplicação a consultas específicas. **Recomendações** Atualize para a versão 5.4.12 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** WP Job Portal versões anteriores a 2.5.2 **Description** A neutralização incorreta de elementos especiais utilizados em um comando SQL permite a Injeção SQL Cega. A Injeção SQL Cega é uma técnica na qual um invasor faz perguntas de verdadeiro ou falso ao banco de dados e determina a resposta com base na resposta da aplicação. **Recommendations** Atualize para uma versão posterior à 2.5.1.

**Nome do Software Vulnerável e Versões Afetadas** Ahmad WP Job Portal versões anteriores a 2.5.1 **Description** A neutralização inadequada de entradas durante a geração de páginas web permite o Cross-Site Scripting (XSS) Refletido, uma falha onde a aplicação inclui dados não confiáveis em uma página web sem a devida validação ou escape, permitindo que atacantes executem scripts maliciosos no navegador da vítima. **Recommendations** Atualize para uma versão posterior a 2.5.1.

**Nome do Software Vulnerável e Versões Afetadas** e2pdf versões anteriores a 1.32.15 **Description** O software contém um problema de neutralização inadequada de entrada durante a geração de páginas web, o que permite o Cross-site Scripting (XSS) Refletido. Isso ocorre quando uma aplicação inclui dados não confiáveis em uma página web sem a devida validação ou codificação, permitindo que um invasor execute scripts maliciosos no navegador da vítima. **Recommendations** Atualize o e2pdf para a versão 1.32.15 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Tainacan versões anteriores a 1.0.4 **Description** O Tainacan está sujeito a Blind SQL Injection, que ocorre quando uma aplicação não neutraliza adequadamente elementos especiais usados em um comando SQL, permitindo que um invasor infira dados ao observar a resposta da aplicação a consultas específicas. **Recommendations** Atualize para uma versão posterior a 1.0.3.

**Nome do Software Vulnerável e Versões Afetadas** WPCS versões anteriores a 1.3.2 **Description** A neutralização inadequada de entradas durante a geração de páginas web no RealMag777 WPCS currency-switcher permite Cross-site Scripting (XSS) Baseado em DOM, uma falha onde a aplicação contém JavaScript no lado do cliente que processa dados de uma fonte não confiável de maneira insegura, geralmente gravando os dados em um sink perigoso. **Recommendations** Atualize para uma versão posterior a 1.3.1.

**Nome do Software Vulnerável e Versões Afetadas** Smart Coupons for WooCommerce versões anteriores a 2.3.0 **Description** Uma falha de autorização ausente no WebToffee Smart Coupons for WooCommerce permite a exploração de níveis de segurança de controle de acesso configurados incorretamente. Trata-se de uma falha de controle de acesso interrompido, na qual o sistema não verifica adequadamente se um usuário possui as permissões necessárias para realizar uma ação. **Recommendations** Atualize para a versão 2.3.0 ou posterior.

**Name of the Vulnerable Software and Affected Versions** TotalSuite TotalContest Lite versions through 2.9.1 **Description** An issue exists in TotalSuite TotalContest Lite that allows for object injection due to the deserialization of untrusted data. This can lead to potential compromise of the system. **Recommendations** Versions prior to 2.9.1 should be updated. At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** WPC Product Bundles for WooCommerce versions n/a through 8.4.5 **Description** An issue exists in WPClever WPC Product Bundles for WooCommerce where incorrectly configured access control security levels can be exploited due to a missing authorization check in the `woo-product-bundle` component. This allows unauthorized access. **Recommendations** Update WPC Product Bundles for WooCommerce to a version later than 8.4.5.

**Name of the Vulnerable Software and Affected Versions** Maciej Bis Permalink Manager Lite versions prior to 2.5.3 **Description** An authorization issue exists in Maciej Bis Permalink Manager Lite permalink-manager. The issue involves incorrectly configured access control security levels, potentially allowing unauthorized access. **Recommendations** Update Maciej Bis Permalink Manager Lite to version 2.5.3 or later.

**Name of the Vulnerable Software and Affected Versions** Delay Redirects versions through 1.0.0 **Description** Delay Redirects is susceptible to a DOM-Based Cross-site Scripting (XSS) issue due to improper neutralization of input during web page generation. This allows for potential malicious code execution within the context of the user's browser. **Recommendations** Update Delay Redirects to a version later than 1.0.0.