Huynh Tien Si

**Nome do software vulnerável e versões afetadas** Versões do Metaphor Creations Post Duplicator até a 2.31 **Descrição** O problema está relacionado a uma vulnerabilidade de falta de autorização, que permite a exploração de níveis de segurança de controle de acesso configurados incorretamente. **Recomendações** Para as versões até a 2.31, atualize para uma versão que contenha uma correção para este problema. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** 5 Star Plugins Easy Age Verify, versões 1.8.2 e anteriores **Descrição** O problema está relacionado à neutralização inadequada de entradas durante a geração de páginas da Web, também conhecida como Cross-site Scripting (XSS). Isso permite ataques de XSS armazenado. **Recomendações** Para as versões 1.8.2 e anteriores, atualize para uma versão que contenha uma correção para este problema, pois a versão atual está afetada pela vulnerabilidade de XSS armazenado. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Icegram versões 3.1.21 e anteriores **Descrição** O problema está relacionado a uma vulnerabilidade de falta de autorização no Icegram. Essa vulnerabilidade permite o acesso não autorizado. **Recomendações** Para as versões 3.1.21 e anteriores do Icegram, no momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Form Maker da 10Web, versões 1.15.24 e anteriores **Descrição** O problema está relacionado à neutralização inadequada de entradas durante a geração de páginas da Web, também conhecida como Cross-site Scripting. Isso permite ataques XSS armazenados. **Recomendações** Para as versões 1.15.24 e anteriores, atualize para uma versão posterior à 1.15.24 para resolver o problema.

**Nome do software vulnerável e versões afetadas** WP Favorite Posts, versões 1.6.8 e anteriores **Descrição** Foi identificada uma vulnerabilidade do tipo Cross-Site Request Forgery (CSRF). Esse tipo de vulnerabilidade permite que um invasor induza um usuário a realizar ações indesejadas em um aplicativo web no qual o usuário esteja autenticado. **Recomendações** Para as versões 1.6.8 e anteriores, atualize para uma versão que contenha uma correção para este problema. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas** WP Dummy Content Generator, versões 3.1.2 e anteriores **Descrição** O problema está relacionado a uma vulnerabilidade de falta de autorização no plugin WP Dummy Content Generator para WordPress. Essa vulnerabilidade permite a contornar as medidas de segurança. **Recomendações** Para as versões 3.1.2 e anteriores, atualize para uma versão que contenha uma correção para este problema. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Timersys WP Popups, versões n/a a 2.1.5.5 **Descrição** O problema está relacionado à neutralização inadequada de entradas durante a geração de páginas da Web, também conhecida como Cross-site Scripting, permitindo XSS armazenado. Isso significa que um invasor pode injetar scripts maliciosos no site, os quais podem ser executados por outros usuários. **Recomendações** Para as versões n/a a 2.1.5.5, atualize para uma versão posterior à 2.1.5.5 para resolver o problema. Como solução alternativa temporária, considere restringir a entrada de dados do usuário para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Versões do Advanced Flamingo de n/a a 1.0 **Descrição** O problema é uma vulnerabilidade do tipo Cross-Site Request Forgery (CSRF). Esse tipo de vulnerabilidade permite que um invasor induza um usuário a realizar ações indesejadas em uma aplicação web na qual o usuário esteja autenticado. **Recomendações** Para as versões n/a a 1.0, atualize para uma versão que inclua uma correção para este problema, uma vez que não são fornecidas medidas de mitigação específicas para essas versões. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do MW WP Form de n/a a 5.0.6 **Descrição** O problema está relacionado à neutralização inadequada de entradas durante a geração de páginas da Web, também conhecida como Cross-site Scripting, o que permite XSS armazenado. Isso significa que um invasor pode injetar scripts maliciosos no site, afetando potencialmente os usuários que acessarem a página comprometida. **Recomendações** Para as versões do MW WP Form de n/a a 5.0.6, atualize para uma versão posterior à 5.0.6 para resolver o problema. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** CRM Perks Forms – WordPress Form Builder, versões 1.1.2 e anteriores **Descrição** O problema está relacionado à neutralização inadequada de entradas durante a geração de páginas da Web, também conhecida como Cross-site Scripting (XSS), o que permite a execução de XSS armazenado. Isso significa que um invasor pode injetar scripts maliciosos no site, o que pode levar a acesso ou controle não autorizado. **Recomendações** Para as versões 1.1.2 e anteriores, atualize para uma versão posterior à 1.1.2 para resolver o problema. Como solução temporária, considere restringir o acesso ao plugin CRM Perks Forms – WordPress Form Builder até que um patch esteja disponível. Evite usar o plugin para operações confidenciais até que o problema seja resolvido. No momento, não há informações sobre medidas de mitigação adicionais.

**Nome do software vulnerável e versões afetadas** Icegram Engage – WordPress Lead Generation, Popup Builder, CTA, Optins e Email List Building, versões até a 3.1.19 **Descrição** O problema está relacionado à neutralização inadequada de entradas durante a geração de páginas da Web, também conhecida como “Cross-site Scripting”. Isso permite a execução de XSS armazenado. **Recomendações** Para versões até a 3.1.19, atualize para uma versão posterior à 3.1.19 para resolver o problema. Como solução alternativa temporária, considere restringir a entrada de dados do usuário para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Brave – Create Popup, Optins, Lead Generation, Survey, Sticky Elements & Interactive Content, versões n/a a 0.6.2 **Descrição** O problema está relacionado à neutralização inadequada de entradas durante a geração de páginas da Web, também conhecida como Cross-site Scripting. Isso permite a execução de XSS armazenado. **Recomendações** Para as versões n/a a 0.6.2, atualize para uma versão posterior à 0.6.2 para resolver o problema. Como solução temporária, considere restringir a entrada do usuário para evitar a exploração potencial da vulnerabilidade Stored XSS.

**Nome do software vulnerável e versões afetadas** O plugin Chatbot for WordPress para a versão 2.3.9 do WordPress **Descrição** A vulnerabilidade está relacionada a um ataque de Cross-Site Scripting (XSS) armazenado por meio das configurações de administração, devido à sanitização insuficiente de entradas e à falta de escapamento de saídas. Isso permite que invasores autenticados com permissões de nível de administrador ou superiores injetem scripts web arbitrários em páginas, os quais serão executados sempre que um usuário acessar uma página afetada. O problema afeta apenas instalações multisite e instalações nas quais o unfiltered html foi desativado. **Recomendações** Para a versão 2.3.9, atualize para uma versão mais recente que corrija o problema de sanitização insuficiente de entradas e escapamento de saída, a fim de prevenir ataques de Stored Cross-Site Scripting. Como solução temporária, considere restringir o acesso às configurações de administração para minimizar o risco de exploração.

**Name of the Vulnerable Software and Affected Versions** ibericode HTML Forms versions 1.3.28 and earlier **Description** The issue is related to Improper Neutralization of Input During Web Page Generation, also known as Cross-site Scripting, which allows Stored XSS. This means that an attacker can inject malicious scripts into the website, potentially affecting users who access the compromised page. **Recommendations** For versions 1.3.28 and earlier, update to a version later than 1.3.28 to resolve the issue. At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Delete Duplicate Posts versions n/a through 4.8.9 **Description** The issue is related to a Missing Authorization vulnerability in Clever plugins, specifically in the Delete Duplicate Posts plugin. This vulnerability allows accessing functionality not properly constrained by Access Control Lists (ACLs). **Recommendations** For versions n/a through 4.8.9, update to a version that properly constrains functionality with ACLs to prevent unauthorized access. At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Website Optimization – Plerdy plugin for WordPress versions up to, and including, 1.3.2 **Description** The issue is related to Stored Cross-Site Scripting via the plugin's tracking code settings due to insufficient input sanitization and output escaping. This allows authenticated attackers with administrator-level access to inject arbitrary web scripts in pages, which will execute when a user accesses an injected page. The issue specifically affects multi-site installations and installations where unfiltered html has been disabled. **Recommendations** For versions up to, and including, 1.3.2, update to a version that includes the necessary input sanitization and output escaping fixes to prevent Stored Cross-Site Scripting attacks. As a temporary workaround, consider restricting administrator-level access and monitoring page content for injected scripts. Additionally, enabling unfiltered html, if feasible, may mitigate the risk, but this should be carefully considered against potential security trade-offs.

**Name of the Vulnerable Software and Affected Versions** TienCOP WP EXtra plugin versions <= 6.4 **Description** The issue is related to a Cross-Site Request Forgery (CSRF) vulnerability. This type of vulnerability allows an attacker to trick a user into performing unintended actions on a web application that the user is authenticated to. **Recommendations** For TienCOP WP EXtra plugin versions <= 6.4, update to a version higher than 6.4 to resolve the issue.

**Name of the Vulnerable Software and Affected Versions** Code Snippets versions n/a through 3.5.0 **Description** The issue is a Cross-Site Request Forgery (CSRF) vulnerability in Code Snippets Pro Code Snippets. This type of vulnerability allows an attacker to trick a user into performing unintended actions on a web application that the user is authenticated to. **Recommendations** For versions n/a through 3.5.0, update to a version that contains a fix for this issue, as no specific mitigation measures are provided for these versions. At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Slick Popup: Contact Form 7 Popup Plugin versions prior to 1.7.15 **Description** The issue is related to a Stored Cross-Site Scripting (XSS) vulnerability that requires authentication with admin or higher privileges. This vulnerability can be exploited in the Slick Popup: Contact Form 7 Popup Plugin. **Recommendations** For versions prior to 1.7.15, update to version 1.7.15 or later to resolve the issue.

**Name of the Vulnerable Software and Affected Versions** The ChatBot for WordPress versions 4.8.6 through 4.9.6 **Description** The issue arises from insufficient input sanitization and output escaping in the FAQ Builder, allowing authenticated attackers with administrator-level permissions to inject arbitrary web scripts. This affects multi-site installations and installations where unfiltered html has been disabled, enabling the execution of injected scripts when a user accesses the affected page. **Recommendations** For versions 4.8.6 through 4.9.6, update to a version that addresses the insufficient input sanitization and output escaping in the FAQ Builder to prevent stored cross-site scripting attacks.