Kyokito

**Nome do Software Vulnerável e Versões Afetadas** VK All in One Expansion Unit versões anteriores a 9.118.1 **Description** A sanitização insuficiente de entrada e a escape inadequada de saída permitem que atacantes autenticados com nível de acesso de contribuidor ou superior realizem Stored Cross-Site Scripting. Isso ocorre por meio do Post Meta `vkExUnit cta img position`. O callback `sanitize text field` não remove caracteres de aspas duplas ou atributos de manipuladores de evento `on*` durante o processo de salvamento. Além disso, a função `Vk Call To Action::safe kses post()` apenas reescreve elementos iframe não permitidos e retorna todo o restante do conteúdo verbatim, permitindo que scripts web injetados sejam executados quando um usuário acessa a página afetada. **Recommendations** Atualize o VK All in One Expansion Unit para a versão 9.118.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** CSS & JavaScript Toolbox versões anteriores a 12.0.7 **Description** O plugin está sujeito a Stored Cross-Site Scripting (XSS), uma falha onde scripts maliciosos são armazenados permanentemente no servidor alvo. O problema existe nos campos do Assignment Engine devido à sanitização de entrada e escape de saída insuficientes nos campos de dados, incluindo `Expressions`, `URLs` e `Advanced assignment data`. Atacantes autenticados com nível de acesso de Administrador ou superior podem injetar scripts web arbitrários que serão executados sempre que um usuário acessar a tela de edição de bloco CJT no painel administrativo. **Recommendations** Atualize o plugin para a versão 12.0.7 ou posterior. Restrinja o acesso aos campos do Assignment Engine para `Expressions`, `URLs` e `Advanced assignment data` para minimizar o risco de exploração.