Maru

**Nome do Software Vulnerável e Versões Afetadas** Mail Mint – Email Marketing, Newsletter, Email Automation & WooCommerce Emails versões anteriores a 1.31.1 **Description** Este problema envolve a Injeção de Objeto PHP causada pela desserialização de entradas não confiáveis na função `handle form submission()`. Isso permite que atacantes não autenticados injetem um Objeto PHP, o que, combinado com uma POP chain (uma sequência de gadgets usada para executar código arbitrário), possibilita a execução remota de código no servidor. **Recommendations** Atualize o plugin para uma versão posterior a 1.31.0. Como medida de mitigação temporária, restrinja o acesso à função `handle form submission()`.

**Nome do Software Vulnerável e Versões Afetadas** FleekDash V2 versões anteriores a 2.6.2.3 **Descrição** Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes autenticados com nível de acesso de assinante ou superior podem sobrescrever o endereço de e-mail e a senha de qualquer usuário do WordPress, incluindo administradores, resultando no controle total da conta e do site. Além disso, o endpoint `/wp-json/fleekdash/v1/register` provisiona automaticamente uma conta com função de Assinante e retorna um nonce REST válido, independentemente da configuração `users can register`, permitindo que atacantes não autenticados obtenham as credenciais e o nonce necessários. **Recomendações** Atualize o FleekDash V2 para a versão 2.6.2.3 ou posterior.