Martino Spagnuolo

O analisador HTTP/3 não verifica se o comprimento do corpo recebido corresponde a um content-length anunciado anteriormente quando o fluxo é fechado por meio de um frame com payload vazio. Isso pode causar problemas de dessincronização com o servidor de backend e pode ser usado para request smuggling, que é uma técnica utilizada para interferir na maneira como um site processa sequências de requisições HTTP.

A Server-Side Request Forgery (SSRF) issue exists in MailerPress. This allows for Server Side Request Forgery. The vulnerability affects the `mailerpress` component.

Existe uma vulnerabilidade de Falsificação de Requisição no Lado do Servidor (SSRF) no aitool Ai Auto Tool Content Writing Assistant (Gemini Writer, ChatGPT ) All in One. Este problema permite a Falsificação de Requisição no Lado do Servidor.

Existe uma falha de autorização no DesertThemes SoftMe, permitindo exploração devido a níveis de segurança de controle de acesso configurados incorretamente.

O software contém uma falha de autorização ausente devido a níveis de segurança de controle de acesso configurados incorretamente.

Existe uma validação inadequada da quantidade especificada na entrada no Bonus for Woo, potencialmente permitindo o acesso a funcionalidades não devidamente restritas por Listas de Controle de Acesso (ACLs).

Trata-se de uma vulnerabilidade de Falsificação de Solicitação Entre Sites (CSRF) que permite Injeção de Objetos.

Nome do Software Vulnerável e Versões Afetadas: ameliabooking Booking System Trafft versões até a 1.0.14 Descrição: O software Booking System Trafft contém uma vulnerabilidade de Cross-site Scripting (XSS) Armazenado. Isso ocorre devido à neutralização inadequada de entrada durante a geração da página web. Recomendações: Atualize o ameliabooking Booking System Trafft para uma versão posterior à 1.0.14.

The Employee Directory – Staff Listing & Team Directory Plugin for WordPress is susceptible to object injection due to deserialization of untrusted data. This issue allows for potential code execution.

A desserialização de dados não confiáveis no software permite a injeção de objetos.

O software contém um problema de desserialização de dados não confiáveis, o que permite a injeção de objetos.

An improper control of generation of code ('Code Injection') vulnerability exists in emarket-design YouTube Showcase, allowing Object Injection.

A desserialização de dados não confiáveis no WP Easy Contact permite a injeção de objetos.

Nome do Software Vulnerável e Versões Afetadas: CubeWP Framework versões de N/A até 1.1.24 Descrição: Existe um problema de atribuição incorreta de privilégios no CubeWP Framework, permitindo escalonamento de privilégios. Recomendações: Atualize o CubeWP Framework para uma versão posterior a 1.1.24.

Nome do Software Vulnerável e Versões Afetadas: Versões do StoryMap até 2.1 Descrição: Existe uma vulnerabilidade de Falsificação de Solicitação Entre Sites (CSRF) no StoryMap, que também permite Injeção de SQL. Recomendações: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Name of the Vulnerable Software and Affected Versions: Infility Global versions through 2.14.7 Description: This issue involves an improper limitation of a pathname to a restricted directory, also known as a 'Path Traversal' vulnerability, in Infility Global. The vulnerability allows Path Traversal. Recommendations: At the moment, there is no information about a newer version that contains a fix for this vulnerability.

Nome do Software Vulnerável e Versões Afetadas: Versões do Made IT Forms não especificadas até 2.9.0 Descrição: Existe uma vulnerabilidade de upload de arquivos sem restrições com tipos de arquivos perigosos no Made IT Forms, permitindo o upload de um web shell para um servidor web. Recomendações: No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Nome do Software Vulnerável e Versões Afetadas: miniOrange Prevent files / folders access versões n/a até 2.6.0 Descrição: Existe uma vulnerabilidade de path traversal no miniOrange Prevent files / folders access, permitindo que atacantes atravessem os caminhos dos arquivos. Esta falha permite a traversão de caminho dentro da aplicação. Recomendações: Atualize o miniOrange Prevent files / folders access para uma versão superior à 2.6.0.

Nome do Software Vulnerável e Versões Afetadas: DELUCKS SEO versões até a 2.6.0 Descrição: Existe um problema de atribuição incorreta de privilégios no DELUCKS SEO, permitindo escalonamento de privilégios. Recomendações: Atualize o DELUCKS SEO para uma versão posterior à 2.6.0.

Name of the Vulnerable Software and Affected Versions: BuddyPress XProfile Custom Image Field versions through 3.0.1 Description: This issue involves an improper limitation of a pathname to a restricted directory, also known as a path traversal. This allows an attacker to access restricted directories. Recommendations: Update BuddyPress XProfile Custom Image Field to a version later than 3.0.1.