Javitoia

**Nome do Software Vulnerável e Versões Afetadas** GiveWP versões anteriores a 4.15.4 **Description** O plugin GiveWP para WordPress contém uma falha de Cross-Site Request Forgery (CSRF). Isso ocorre porque a função `give set notification status handler()` não realiza a validação de nonce. Um nonce é um token único usado para garantir que uma solicitação foi enviada intencionalmente pelo usuário. Consequentemente, invasores não autenticados podem desativar as notificações de e-mail de doações enganando um administrador do site para clicar em um link malicioso. **Recommendations** Atualize o plugin para a versão 4.15.4 ou posterior. Como medida de mitigação temporária, restrinja o acesso administrativo ao painel do WordPress a redes confiáveis.

**Nome do Software Vulnerável e Versões Afetadas** LearnPress versões anteriores a 4.3.9.2 **Description** Existe uma Referência Direta Insegura a Objeto (IDOR) devido à falta de validação em uma chave controlada pelo usuário. Atacantes autenticados com nível de acesso de assinante ou superior podem explorar o parâmetro `userId` para visualizar o progresso de matrícula em cursos e dados de conclusão de usuários com a função `LP TEACHER ROLE` ou administradores. Este problema não afeta assinantes regulares, pois o acesso entre assinantes é bloqueado. **Recommendations** Atualize para uma versão posterior à 4.3.9.1. Evite usar o parâmetro `userId` em requisições até que a atualização seja aplicada.