Lucsob

**Nome do Software Vulnerável e Versões Afetadas** Super Progressive Web Apps versões anteriores a 2.2.44 **Descrição** Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. A configuração `superpwa settings[offline message txt]` é armazenada sem sanitização e passada para o frontend via `wp localize script()` sem escape. O valor é então renderizado usando `innerHTML` no componente de snackbar do JavaScript. Isso permite que atacantes autenticados com nível de acesso de Administrador ou superior injetem scripts web arbitrários que serão executados sempre que um usuário acionar o snackbar de offline. **Recomendações** Atualize o Super Progressive Web Apps para a versão 2.2.44 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Media Cleaner: Clean your WordPress! versões anteriores a 7.0.4 **Description** Existe um problema onde a função `get urls from html()` utiliza `DOMDocument::loadHTMLFile()` para buscar URLs de origem de iframes. O processo emprega uma verificação de validação de hostname insuficiente baseada em uma correspondência de substring com o nome do servidor do site. Isso permite que atacantes autenticados com nível de acesso de Administrador ou superior realizem Server-Side Request Forgery (SSRF), permitindo-lhes iniciar requisições web para locais arbitrários a partir da aplicação para consultar ou interagir com serviços internos. **Recommendations** Atualize para a versão 7.0.4 ou posterior. Como mitigação temporária, restrinja o acesso à função `get urls from html()`.

**Nome do Software Vulnerável e Versões Afetadas** Smart Custom Fields versões anteriores a 5.0.8 **Descrição** Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes nos títulos de anexos de imagens carregados. Atacantes autenticados com nível de acesso de Autor ou superior podem injetar scripts web arbitrários em páginas, que são executados quando um usuário acessa a página afetada. **Recomendações** Atualize o Smart Custom Fields para a versão 5.0.8 ou posterior.

**Name of the Vulnerable Software and Affected Versions** The Menu Icons by ThemeIsle plugin for WordPress versions up to and including 0.13.20 **Description** The software is susceptible to a Stored Cross-Site Scripting issue due to inadequate input sanitization and output escaping. This allows authenticated attackers with Author-level access or higher to inject arbitrary web scripts into pages. These scripts will execute when a user accesses the injected page. The vulnerable parameter is ` wp attachment image alt` post meta. **Recommendations** Update The Menu Icons by ThemeIsle plugin to a version later than 0.13.20.