João Pedro S Alcântara

**Nome do Software Vulnerável e Versões Afetadas** Kalles Addons versões anteriores a 1.0.7 **Description** O plugin Kalles Addons para WordPress é suscetível a PHP Object Injection devido à desserialização de entradas não confiáveis. Isso permite que atacantes não autenticados injetem um Objeto PHP. O impacto deste problema depende da presença de uma POP chain (uma sequência de gadgets usada para alcançar a execução de código ou outras ações maliciosas) em outros plugins ou temas instalados. Se tal cadeia existir, um atacante poderá, potencialmente, excluir arquivos arbitrários, recuperar dados sensíveis ou executar código. **Recommendations** Atualize o plugin para uma versão posterior a 1.0.6.

**Nome do Software Vulnerável e Versões Afetadas** NativeChurch versões anteriores a 4.8.8.3 **Descrição** Existe um problema de Cross Site Scripting (XSS) não autenticado, permitindo que atacantes executem scripts maliciosos sem autenticação. **Recomendações** Atualize o NativeChurch para uma versão posterior à 4.8.8.2.

**Nome do Software Vulnerável e Versões Afetadas** Automotive Car Dealership Business versões anteriores a 13.3.4 **Descrição** Existe um problema de Cross Site Scripting (XSS) não autenticado, permitindo que um invasor execute scripts maliciosos no navegador de um usuário sem a necessidade de autenticação. **Recomendações** Atualize para uma versão posterior à 13.3.3.

**Nome do Software Vulnerável e Versões Afetadas** LMS versões anteriores a 9.8 **Descrição** Um problema de Cross Site Scripting (XSS) não autenticado existe, permitindo que um invasor execute scripts maliciosos no navegador da vítima sem a necessidade de autenticação. **Recomendações** Atualize para uma versão posterior a 9.7.

**Nome do Software Vulnerável e Versões Afetadas** Pearl - Corporate Business versões anteriores a 3.4.11 **Descrição** Existe um problema de Inclusão de Arquivo Local (LFI) não autenticado, que permite a um invasor ler arquivos do sistema de arquivos local sem a necessidade de autenticação. **Recomendações** Atualize o Pearl - Corporate Business para uma versão posterior à 3.4.10.

**Nome do Software Vulnerável e Versões Afetadas** Real Estate 7 versões anteriores a 3.5.10 **Descrição** Existe um problema de Cross Site Scripting (XSS) não autenticado, que permite a um invasor executar scripts maliciosos no navegador de um usuário sem a necessidade de autenticação prévia. **Recomendações** Atualize o Real Estate 7 para a versão 3.5.10 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** WPeMatico RSS Feed Fetcher versões anteriores a 2.8.18 **Descrição** O plugin WPeMatico RSS Feed Fetcher para WordPress contém uma falha de Cross-Site Scripting (XSS) armazenada. Este problema ocorre porque o software não sanitiza adequadamente a entrada e não escapa a saída, permitindo que atacantes não autenticados injetem scripts web arbitrários em páginas. Esses scripts são executados automaticamente sempre que um usuário acessa a página afetada. **Recomendações** Atualize o WPeMatico RSS Feed Fetcher para uma versão posterior a 2.8.17.

**Nome do Software Vulnerável e Versões Afetadas** WofficeIO Woffice versões anteriores a 5.4.33 **Descrição** Existe um problema onde níveis de segurança de controle de acesso configurados incorretamente levam à ausência de autorização, permitindo a exploração potencial. **Recomendações** Atualize o WofficeIO Woffice para a versão 5.4.33 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Kids Life | Children School WordPress versões anteriores a 5.3 **Descrição** Ocorre Cross-Site Scripting (XSS) Armazenado devido à sanitização de entrada e escape de saída insuficientes. Isso permite que atacantes não autenticados injetem scripts web arbitrários em páginas, que são executados sempre que um usuário acessa a página afetada. **Recomendações** Atualize o Kids Life | Children School WordPress para uma versão posterior a 5.2.

**Nome do Software Vulnerável e Versões Afetadas** Werkstatt versões anteriores a 4.8.4 **Descrição** O tema Werkstatt - Creative Portfolio WordPress Theme é suscetível a PHP Object Injection, uma condição em que entradas não confiáveis são desserializadas, permitindo que um invasor injete um Objeto PHP. Este problema afeta usuários autenticados com nível de acesso de contribuidor ou superior. Embora não haja uma POP chain (uma sequência de gadgets usada para alcançar a execução de código) nativa no software, a presença de uma POP chain via outros plugins ou temas instalados poderia permitir a exclusão de arquivos arbitrários, a recuperação de dados sensíveis ou a execução remota de código. **Recomendações** Atualize para uma versão posterior à 4.8.3.

**Nome do Software Vulnerável e Versões Afetadas** Link Whisper Free versões anteriores a 0.9.5 **Descrição** Cross Site Scripting (XSS) não autenticado permite que um invasor execute scripts maliciosos no navegador de um usuário sem a necessidade de autenticação. **Recomendações** Atualize o Link Whisper Free para a versão 0.9.5 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Automotive Listings versões anteriores a 18.7 **Descrição** Ocorre Cross-Site Scripting (XSS) Refletido devido à sanitização de entrada e escape de saída insuficientes. Isso permite que atacantes não autenticados injetem scripts web arbitrários em páginas, que são executados quando um usuário é enganado para realizar uma ação, como clicar em um link. **Recomendações** Atualize para uma versão posterior à 18.6.

**Nome do Software Vulnerável e Versões Afetadas** TheFox versões anteriores a 3.9.77 **Descrição** O tema TheFox para WordPress está sujeito a Reflected Cross-Site Scripting (XSS), uma falha onde scripts maliciosos são refletidos de uma aplicação web para o navegador da vítima. Isso ocorre devido à sanitização insuficiente de entrada e escape insuficiente de saída, permitindo que atacantes não autenticados injetem scripts web arbitrários em páginas. Esses scripts são executados se um usuário for enganado a realizar uma ação, como clicar em um link malicioso. **Recomendações** Atualize para uma versão posterior à 3.9.76.

**Nome do Software Vulnerável e Versões Afetadas** Jobify versões anteriores a 4.3.3 **Descrição** Existe um problema de Cross Site Scripting (XSS) não autenticado, que permite a um invasor executar scripts maliciosos no navegador de um usuário sem a necessidade de autenticação prévia. **Recomendações** Atualize para uma versão posterior a 4.3.2.

**Nome do Software Vulnerável e Versões Afetadas** Neve PRO versões anteriores a 3.1.3 **Descrição** Existe uma falha de Cross Site Scripting (XSS) no software, permitindo que usuários com permissões de colaborador executem scripts maliciosos no navegador de outros usuários. **Recomendações** Atualize o Neve PRO para a versão 3.1.3 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Blog2Social versões anteriores a 8.9.3 **Descrição** Existe um problema de Cross Site Scripting (XSS) não autenticado, que permite a um invasor executar scripts maliciosos no navegador de um usuário sem a necessidade de autenticação prévia. **Recomendações** Atualize o Blog2Social para a versão 8.9.3 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Real Estate 7 versões anteriores a 3.6.0 **Descrição** Um problema de Cross-Site Request Forgery (CSRF) não autenticado existe no tema WordPress Real Estate 7. Isso ocorre devido à validação de nonce incorreta ou ausente—um mecanismo de segurança usado para garantir que uma solicitação foi enviada intencionalmente pelo usuário—dentro de uma função. Isso permite que um invasor execute ações não autorizadas enganando um administrador do site para clicar em um link malicioso. **Recomendações** Atualize para uma versão posterior à 3.5.9.

**Nome do Software Vulnerável e Versões Afetadas** Master Slider versões anteriores a 3.11.3 **Description** Uma falha de cross-site scripting (XSS) não autenticada existe no tratamento de entrada voltado para a web. O problema decorre de validação de entrada e codificação de saída inadequadas, permitindo que conteúdo fornecido por um invasor seja renderizado como um script ativo no navegador. Um invasor remoto pode injetar payloads maliciosos em parâmetros ou campos expostos sem autenticação. Se um administrador ou usuário interagir com o conteúdo manipulado, isso pode levar ao sequestro de sessão, assumindo o controle de contas administrativas via cookies ou nonces roubados, e redirecionamentos maliciosos. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** SeedProd Pro versões anteriores a 6.19.5 **Descrição** Ocorre Cross-Site Scripting (XSS) Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes autenticados com nível de acesso de contribuidor ou superior podem injetar scripts web arbitrários em páginas, que serão executados sempre que um usuário acessar a página afetada. **Recomendações** Atualize o SeedProd Pro para a versão 6.19.5 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Moderno versões anteriores a 1.43 **Descrição** Ocorre uma Injeção de Objeto PHP não autenticada no tema Moderno. A Injeção de Objeto PHP é uma vulnerabilidade que permite a um invasor injetar objetos maliciosos em uma aplicação PHP, o que pode levar a vários impactos dependendo das classes disponíveis no código da aplicação. **Recomendações** Atualize para a versão 1.43 ou posterior.