Nguyen Ba Khanh

**Nome do Software Vulnerável e Versões Afetadas** NotificationX Pro versões anteriores a 3.1.5 **Description** A sanitização insuficiente de entrada e a falta de escape de saída permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente em um servidor alvo. Isso possibilita a injeção de scripts web arbitrários em páginas, que são executados automaticamente sempre que um usuário acessa a página afetada. **Recommendations** Atualize o NotificationX Pro para uma versão posterior à 3.1.4.

**Nome do Software Vulnerável e Versões Afetadas** Blocksy Companion Pro plugin for WordPress versões anteriores a 2.1.47 **Description** Um problema de upload arbitrário de arquivos não autenticado existe no recurso Advanced Reviews. A função `save attachments()` não valida adequadamente as extensões de arquivo, especificamente devido a uma verificação de substring `strpos()` falha na extensão Custom Fonts. Um invasor pode ignorar essa validação usando nomes de arquivos com extensões duplas, como `shell.woff2.php`, permitindo o upload de arquivos executáveis que o servidor web processa como PHP, resultando em execução remota de código. **Recommendations** Atualize o Blocksy Companion Pro plugin for WordPress para a versão 2.1.47 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Admin and Site Enhancements (ASE) Pro versões anteriores a 8.8.6 **Descrição** Existe um problema de Cross Site Scripting (XSS) não autenticado, que permite a um invasor executar scripts maliciosos no navegador de um usuário sem a necessidade de autenticação prévia. **Recomendações** Atualize o Admin and Site Enhancements (ASE) Pro para a versão 8.8.6 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Survey Maker versões anteriores a 5.2.2.6 **Descrição** Existe um problema de Cross Site Scripting (XSS) não autenticado, que permite a um invasor executar scripts maliciosos no navegador de um usuário sem a necessidade de autenticação prévia. **Recomendações** Atualize para uma versão posterior à 5.2.2.5.

**Nome do Software Vulnerável e Versões Afetadas** Kit (formerly ConvertKit) for WooCommerce versões anteriores a 2.1.6 **Descrição** Um problema de exposição de dados sensíveis não autenticados existe no plugin, permitindo que usuários não autorizados acessem informações confidenciais sem fornecer credenciais. **Recomendações** Atualize o plugin para uma versão posterior a 2.1.5.

**Nome do Software Vulnerável e Versões Afetadas** Sendcloud Shipping versões anteriores a 1.0.30 **Descrição** A ausência de autorização permite a exploração de níveis de segurança de controle de acesso configurados incorretamente. **Recomendações** Atualize o Sendcloud Shipping para a versão 1.0.30 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** wpDataTables versões 6.5.1.1 e anteriores **Descrição** Um problema de Cross Site Scripting (XSS) não autenticado existe, permitindo que um invasor execute scripts maliciosos no navegador de um usuário sem a necessidade de autenticação prévia. **Recomendações** Atualize o wpDataTables para uma versão posterior à 6.5.1.1.

**Nome do Software Vulnerável e Versões Afetadas** Modula - PRO versões anteriores a 2.10.9 **Descrição** Ocorre Cross-Site Scripting (XSS) Armazenado devido à sanitização de entrada e escape de saída insuficientes. Isso permite que atacantes não autenticados injetem scripts web arbitrários em páginas, que são executados sempre que um usuário acessa a página afetada. **Recomendações** Atualize o Modula - PRO para uma versão posterior a 2.10.8.

**Nome do Software Vulnerável e Versões Afetadas** WowAddons versões anteriores a 1.6.15 **Descrição** O plugin Product Addons and Product Options With Custom Fields – WowAddons para WordPress contém uma falha de Cross-Site Scripting (XSS) armazenada. Este problema ocorre devido à sanitização insuficiente de entrada e escape insuficiente de saída, permitindo que atacantes não autenticados injetem scripts web arbitrários em páginas. Esses scripts são executados automaticamente sempre que um usuário acessa a página afetada. **Recomendações** Atualize para uma versão posterior à 1.6.14.

**Nome do Software Vulnerável e Versões Afetadas** WP Photo Album Plus versões anteriores a 9.2.02.005 **Descrição** Ocorre Cross-Site Scripting (XSS) Armazenado devido à sanitização de entrada e escape de saída insuficientes. Isso permite que atacantes não autenticados injetem scripts web arbitrários em páginas, que são executados sempre que um usuário acessa a página afetada. **Recomendações** Atualize o WP Photo Album Plus para uma versão posterior à 9.2.02.004.

**Nome do Software Vulnerável e Versões Afetadas** Blocksy Companion Pro versões anteriores a 2.1.47 **Descrição** Uma falha de execução remota de código não autenticada permite que um invasor execute código arbitrário no site sem a necessidade de credenciais de login. **Recomendações** Atualize para uma versão posterior à 2.1.46.

**Nome do Software Vulnerável e Versões Afetadas** WooCommerce Designer Pro versões anteriores a 1.9.35 **Descrição** O Cross Site Scripting (XSS) permite que um invasor com privilégios de assinante execute scripts maliciosos no navegador de outros usuários. **Recomendações** Atualize o WooCommerce Designer Pro para a versão 1.9.35 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Automatic versões anteriores a 3.135.1 **Descrição** Existe um problema de Cross Site Scripting (XSS) não autenticado, que permite a um invasor executar scripts maliciosos no navegador de um usuário sem a necessidade de autenticação prévia. **Recomendações** Atualize para a versão 3.135.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** weMail versões anteriores a 2.1.3 **Descrição** O plugin weMail – Email Marketing, Newsletter Builder & Email Automations for WooCommerce para WordPress contém uma falha de Cross-Site Scripting (XSS) Refletido. Este problema ocorre devido à sanitização insuficiente de entrada e escape insuficiente de saída, permitindo que atacantes não autenticados injetem scripts web arbitrários em páginas. O ataque é executado se um usuário for enganado a realizar uma ação, como clicar em um link malicioso. **Recomendações** Atualize o plugin para uma versão posterior a 2.1.2.

**Nome do Software Vulnerável e Versões Afetadas** Exclusive Addons Elementor versões anteriores a 2.7.9.9 **Descrição** A neutralização inadequada de entrada durante a geração de páginas web permite o Cross-site Scripting (XSS) Armazenado, uma falha onde scripts maliciosos são armazenados permanentemente no servidor alvo e posteriormente executados no navegador de um usuário inadvertido. **Recomendações** Atualize o Exclusive Addons Elementor para a versão 2.7.9.9 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** JetSmartFilters versões anteriores a 3.8.4 **Descrição** Existe uma Injeção de SQL não autenticada no software. SQL Injection é um tipo de vulnerabilidade que permite a um invasor interferir nas consultas que um aplicativo faz ao seu banco de dados, potencialmente permitindo que ele visualize dados que normalmente não conseguiria recuperar. **Recomendações** Atualize o JetSmartFilters para a versão 3.8.4 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** YMC Filter versões anteriores a 3.11.5 **Description** A neutralização inadequada de elementos especiais usados em um comando SQL permite a ocorrência de SQL Injection. Isso acontece quando a aplicação falha ao sanitizar adequadamente os dados fornecidos pelo usuário antes de incorporá-los em uma consulta ao banco de dados, potencialmente permitindo que um invasor manipule a lógica da consulta. **Recommendations** Atualize o YMC Filter para uma versão posterior a 3.11.5.

**Nome do Software Vulnerável e Versões Afetadas** FOX – Currency Switcher Professional for WooCommerce versões anteriores a 1.4.9 **Descrição** Ocorre Cross-Site Scripting (XSS) Armazenado devido à sanitização de entrada e escape de saída insuficientes. Isso permite que atacantes não autenticados injetem scripts web arbitrários em páginas, que são executados sempre que um usuário acessa a página afetada. **Recomendações** Atualize para uma versão posterior à 1.4.8.

**Nome do Software Vulnerável e Versões Afetadas** WorkScout-Core versões anteriores a 1.7.12 **Descrição** Um problema permite que usuários não autenticados realizem a exclusão arbitrária de arquivos. Isso significa que um invasor pode excluir arquivos no servidor sem a necessidade de fornecer credenciais de login válidas. **Recomendações** Atualize para uma versão posterior a 1.7.11.

**Nome do Software Vulnerável e Versões Afetadas** Advanced Ads versões anteriores a 2.0.22 **Descrição** O Controle Impróprio de Geração de Código (Code Injection) permite a Inclusão Remota de Código, que ocorre quando uma aplicação permite que um invasor inclua e execute código remoto no servidor. **Recomendações** Atualize para a versão 2.0.22 ou posterior.