Nishida Azuka

**Nome do Software Vulnerável e Versões Afetadas** Bulk SEO Image versões anteriores a 1.2 **Descrição** O plugin Bulk SEO Image para WordPress está sujeito a Cross-Site Request Forgery. Isso ocorre porque o manipulador da página de configurações `BulkSeoImage()` carece de validação de nonce adequada — um token de segurança usado para garantir que as solicitações sejam intencionais e autorizadas — ao despachar para `launchbulk()` ou `BulkSeoImageGo()` ao receber a variável `$ POST['bulkseoimage']`. Especificamente, o plugin falha ao implementar `wp nonce field()` no formulário e não utiliza `check admin referer()` ou `wp verify nonce()` antes de sobrescrever o meta post ` wp attachment image alt` para imagens anexadas a posts e páginas publicados. Isso permite que um invasor engane um administrador do site para clicar em um link forjado, resultando na sobrescrita em massa dos metadados de texto ALT das imagens em todo o site. **Recomendações** Atualize o plugin para uma versão posterior a 1.1.

**Nome do Software Vulnerável e Versões Afetadas** jQuery Hover Footnotes versões anteriores a 1.5 **Description** O plugin está sujeito a Cross-Site Request Forgery (CSRF), uma falha onde um invasor engana a vítima para realizar uma ação que ela não pretendia. Isso ocorre devido à validação de nonce ausente ou incorreta na função `jqFootnotes options subpanel()`. Atacantes não autenticados podem atualizar as configurações do plugin com valores arbitrários. Como as variáveis `jqfoot anchor open`, `jqfoot anchor close` e `jqfoot title` são persistidas via `update option()` sem sanitização e renderizadas sem escape no frontend, isso pode ser encadeado em Cross-Site Scripting (XSS) persistente, permitindo a execução de scripts maliciosos para todos os visitantes do site. **Recommendations** Atualize para uma versão posterior a 1.4.

**Nome do Software Vulnerável e Versões Afetadas** jQuery Hover Footnotes versões anteriores a 1.5 **Descrição** O plugin jQuery Hover Footnotes para WordPress contém um problema de Cross-Site Scripting (XSS) Armazenado envolvendo o Qualificador de Nota de Rodapé (Sintaxe '{{...}}'). Devido à sanitização de entrada e escape de saída insuficientes, invasores autenticados com nível de acesso de autor ou superior podem injetar scripts web arbitrários em páginas. Esses scripts são executados quando um usuário visita a página afetada. O ataque utiliza um payload de escape de atributo, como aspas duplas seguidas por um manipulador de eventos, que ignora a função `wp kses post()`. Esta função apenas remove tags HTML não permitidas e falha em sanitizar contextos de atributos porque o payload não contém colchetes angulares. **Recomendações** Atualize para uma versão posterior a 1.4.