Nguyen Quang Truong

**Nome do Software Vulnerável e Versões Afetadas** affiliate-toolkit versões anteriores a 3.8.6 **Descrição** Atacantes autenticados com nível de acesso de Editor ou superior podem executar código arbitrário no servidor. O problema ocorre porque o plugin utiliza o método `runString()` do mecanismo de modelagem BladeOne, que compila conteúdo de modelo fornecido pelo usuário em código PHP e o executa via `eval()` sem a devida sanitização ou sandboxing. **Recomendações** Atualize o affiliate-toolkit para a versão 3.8.6 ou posterior.

Nome do Software Vulnerável e Versões Afetadas: Versões do plugin Import any XML, CSV or Excel File to WordPress até 3.9.3 Descrição: O plugin Import any XML, CSV or Excel File to WordPress para WordPress é vulnerável a uploads de arquivos arbitrários devido à ausência de validação de tipo de arquivo durante o processo de importação. Isso permite que atacantes autenticados com acesso de nível de Administrador ou superior carreguem arquivos potencialmente nocivos, como arquivos `.phar`, no servidor. A exploração bem-sucedida pode levar à execução remota de código. Recomendações: Atualize para uma versão superior à 3.9.3.