Normaandersonfrank

The Media Library Assistant plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'mla link attributes' parameter in all versions up to, and including, 3.35 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

**Nome do Software Vulnerável e Versões Afetadas** Xpro Addons versões anteriores a 1.5.2 **Descrição** O plugin Xpro Addons para WordPress contém uma falha que permite a criação não autorizada de dados devido à ausência de uma verificação de capacidade na função `get menu content editor()`. Usuários autenticados com nível de acesso Assinante (Subscriber) ou superior podem criar postagens publicadas arbitrárias do tipo de postagem personalizada `xpro content` com títulos controlados pelo invasor. Essas postagens são consultáveis publicamente no front-end, o que pode resultar em injeção de conteúdo, spam de SEO e poluição do banco de dados. **Recomendações** Atualize o plugin para a versão 1.5.2 ou posterior. Como medida paliativa temporária, restrinja o acesso à função `get menu content editor()` para evitar que usuários não autorizados criem conteúdo.

**Nome do Software Vulnerável e Versões Afetadas** Smash Balloon Social Photo Feed – Easy Social Feeds Plugin versões anteriores a 6.11.2 **Descrição** Ocorre Cross-Site Request Forgery devido à validação de nonce ausente ou incorreta na função `maybe connection data()`. Isso permite que atacantes não autenticados sobrescrevam os tokens de acesso oEmbed do Instagram e Facebook usando o parâmetro `sbi access token` ao enganar um administrador do site para clicar em um link malicioso. A validação de nonce é uma medida de segurança usada para garantir que uma solicitação foi enviada intencionalmente pelo usuário e não forjada por terceiros. **Recomendações** Atualize o Smash Balloon Social Photo Feed – Easy Social Feeds Plugin para a versão 6.11.2 ou posterior.