Pasindu Dilshan

**Nome do Software Vulnerável e Versões Afetadas** UsersWP versões anteriores a 1.2.64 **Descrição** O plugin UsersWP para WordPress contém uma Referência Direta Insegura a Objeto (IDOR), que ocorre quando uma aplicação fornece acesso direto a objetos com base em entradas fornecidas pelo usuário. O problema existe devido à falta de validação em uma chave controlada pelo usuário no parâmetro `user id`. Isso permite que atacantes autenticados com nível de acesso de editor ou superior resetem e excluam permanentemente a imagem do avatar ou do banner de qualquer usuário, incluindo administradores, ao limpar os metadados `avatar thumb` ou `banner thumb` na tabela `uwp usermeta`. **Recomendações** Atualize o plugin para uma versão posterior a 1.2.63. Como medida paliativa temporária, restrinja o acesso ao parâmetro `user id` para usuários com permissões de editor até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** Blocksy Companion versões anteriores a 2.1.46 **Description** O plugin Blocksy Companion para WordPress contém um problema de Stored Cross-Site Scripting nas configurações de administrador, causado por sanitização de entrada e escape de saída insuficientes. Isso permite que atacantes autenticados com permissões de nível de editor ou superior injetem scripts web arbitrários em páginas. Esses scripts são executados quando um usuário acessa a página afetada. Este problema impacta especificamente instalações multi-site e ambientes onde o `unfiltered html` foi desativado. **Recommendations** Atualize para uma versão posterior a 2.1.45.