Pedro Pinho

The Booking for Appointments and Events Calendar WordPress plugin before 9.8.1 does not verify that a payment was actually taken before recording a booking as paid, trusting the payment gateway named in a public, unauthenticated booking request even when the site has never configured that gateway. This lets an unauthenticated attacker obtain confirmed, fully paid appointments and events without any payment being collected.

The WPBot WordPress plugin before 8.5.7 does not perform any authorization or nonce check on several AJAX actions that relay prompts to its configured AI providers, allowing unauthenticated attackers to make those third-party API calls, and consume the associated cost, using the site's own configured API keys.

The Rox Appointment Booking WordPress plugin before 1.2.0 does not perform any capability or authorization check when saving its holiday schedule, allowing unauthenticated attackers to overwrite the dates the booking system treats as unavailable, which can block legitimate bookings or open dates the site owner intended to keep closed.

The Payment Gateway PayPay for WooCommerce WordPress plugin from 0.5 to 0.9.3 does not verify the authenticity of the payment notifications it receives before acting on them, allowing unauthenticated attackers who know the store's merchant identifier to mark arbitrary orders as paid, or to cancel or fail them.

**Nome do Software Vulnerável e Versões Afetadas** ePayco Payment Gateway for WooCommerce WordPress plugin versões anteriores a 8.4.7 **Descrição** O plugin não verifica adequadamente a autenticidade das solicitações de confirmação de pagamento. Isso permite que invasores não autenticados marquem pedidos como pagos, ignorando a necessidade de uma assinatura de gateway válida. **Recomendações** Atualize o ePayco Payment Gateway for WooCommerce WordPress plugin para a versão 8.4.7 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** OAuth Single Sign On versões anteriores a 7.0.1 **Descrição** O plugin não verifica a asserção de identidade retornada durante o fluxo de login único (single sign-on) do Steam. Isso permite que invasores não autenticados façam login como qualquer usuário que não seja administrador ou criem novas contas. **Recomendações** Atualize para a versão 7.0.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Project Manager WordPress plugin versões anteriores a 4.0.7 **Description** Existe uma Referência Direta Insegura a Objeto (IDOR) onde várias rotas da REST API não são restringidas aos projetos aos quais um usuário pertence. Isso permite que qualquer usuário autenticado, incluindo aqueles com privilégios de assinante, leia o conteúdo de tarefas e endereços de e-mail de usuários de outros projetos, bem como modifique quadros de tarefas pertencentes a outros projetos. **Recommendations** Atualize o Project Manager WordPress plugin para a versão 4.0.7 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Conekta Payment Gateway versões anteriores a 6.2.2 **Descrição** O plugin não verifica a autenticidade das notificações de webhook recebidas do gateway de pagamento. Além disso, não vincula os pagamentos confirmados ao pedido correspondente nem verifica o valor do pagamento. Isso permite que atacantes não autenticados marquem pedidos arbitrários como pagos sem a realização do pagamento. **Recomendações** Atualize o plugin para a versão 6.2.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** ShopSmart Loyalty for WooCommerce versões anteriores a 1.0.1 **Descrição** O plugin ShopSmart Loyalty for WooCommerce para WordPress não realiza verificações de autorização ou propriedade em uma função de busca por número de telefone exposta a usuários não autenticados. Um invasor que possua o número de telefone de um cliente pode utilizar a função `shopsmart check phone` para recuperar o perfil de fidelidade do cliente, incluindo informações sensíveis como nome, e-mail e saldo da conta. **Recomendações** Atualize o ShopSmart Loyalty for WooCommerce para uma versão posterior à 1.0.0. Como medida de mitigação temporária, restrinja o acesso à função `shopsmart check phone` para evitar a divulgação não autorizada de informações.

**Nome do Software Vulnerável e Versões Afetadas** Epeken All Kurir for Woocommerce WordPress versões anteriores a 2.1.3 **Descrição** Existe um problema onde o plugin não verifica se uma solicitação de confirmação de pagamento foi enviada pelo proprietário do pedido ou se um pagamento foi realmente processado. Isso permite que invasores não autenticados marquem pedidos arbitrários como confirmados e, dependendo da configuração, como pagos. **Recomendações** Atualize o Epeken All Kurir for Woocommerce WordPress para a versão 2.1.3 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Gammu versões 4.6.0 through 4.6.7 **Description** Uma falha no analisador de arquivos de rastreamento DCT3 permite a negação de serviço. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

The Welcart e-Commerce WordPress plugin before 2.11.33 does not verify the authenticity of its convenience-store / bank-transfer settlement callback: an unauthenticated request can flip an order from unpaid to settled purely from an order number and a status flag, with no signature, amount, or origin check. Because these are pay-later methods, an attacker can mark their own unpaid order as settled and obtain fulfilment without paying.

**Nome do Software Vulnerável e Versões Afetadas** WP Directory Kit versões anteriores a 1.5.6 **Description** Existe um problema onde o software falha ao sanitizar e escapar parâmetros antes de incorporá-los em uma instrução SQL. Isso permite que usuários não autenticados realizem uma injeção de SQL quando um tipo de campo de pesquisa não padrão está configurado. Os parâmetros afetados são `search location` e `search category`. **Recommendations** Atualize o WP Directory Kit para a versão 1.5.6 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Autopay WordPress plugin versões anteriores a 5.0.1 **Description** Existe um problema onde o software falha ao realizar verificações de capacidade ou de nonce antes de salvar uma opção de estilização a partir de uma requisição pública. Além disso, o valor salvo não é escapado quando exibido na página de checkout. Isso permite que atacantes não autenticados armazenem JavaScript que é executado no navegador de qualquer usuário, incluindo administradores, que carregue a página de checkout. Um nonce é um token único usado para prevenir ataques de replay, garantindo que uma requisição seja intencional e provenha de uma fonte confiável. **Recommendations** Atualize o Autopay WordPress plugin para a versão 5.0.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Iptanus File Upload versões anteriores a 5.1.8 **Description** Existe um problema onde o software não sanitiza nem escapa adequadamente o parâmetro `uniqueuploadid` antes de incorporá-lo em uma instrução SQL. Isso permite que usuários não autenticados realizem uma injeção de SQL, que é uma técnica usada para manipular um banco de dados inserindo código SQL malicioso em uma consulta. **Recommendations** Atualize o Iptanus File Upload para a versão 5.1.8 ou posterior. Evite usar o parâmetro `uniqueuploadid` até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** Create WordPress plugin versões anteriores a 2.5.4 **Descrição** Uma verificação de autorização está ausente antes de retornar conteúdo através de uma rota de API REST. Como efeito colateral, essa rota publica o conteúdo solicitado, o que permite que atacantes não autenticados leiam conteúdo não publicado e o tornem publicamente disponível. **Recomendações** Atualize o plugin Create WordPress para a versão 2.5.4 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Subscriptions for WooCommerce versões anteriores a 2.0.1 **Description** Existe um problema no fluxo de recebimento de pedidos do WooCommerce onde o plugin não valida o valor do pagamento nem vincula o token do pedido do PayPal ao pedido que está sendo concluído. O sistema captura um token fornecido pelo cliente e marca o pedido como pago sempre que o status de captura é COMPLETED, sem verificar se o valor capturado corresponde ao total do pedido. Isso permite que um invasor não autenticado, quando o checkout de convidado está habilitado, utilize um token de pedido do PayPal aprovado, mas não capturado, para marcar um pedido caro como pago sem pagar o preço real. **Recommendations** Atualize o Subscriptions for WooCommerce para a versão 2.0.1 ou posterior.

The RegistrationMagic WordPress plugin before 6.0.9.5 does not compare the verified PayPal capture's amount, currency, payee, or prior use against the registration it is finalising: its server-side check only confirms the capture status is COMPLETED. An unauthenticated attacker can therefore finalise an expensive paid registration with any genuinely-completed low-value capture, and replay a single capture across unlimited registrations because captures are not de-duplicated.

**Nome do Software Vulnerável e Versões Afetadas** GetPaid WordPress plugin versões anteriores a 2.8.55 **Descrição** O plugin não verifica a autenticidade das notificações de pagamento recebidas do Worldpay. Isso permite que atacantes não autenticados forjem notificações que marcam faturas pendentes como pagas sem que o pagamento real tenha sido processado. **Recomendações** Atualize o GetPaid WordPress plugin para a versão 2.8.55 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** EONSR AEO Agent WordPress plugin versões anteriores a 3.8.0 **Descrição** O plugin não realiza verificações de autorização em uma rota da API REST e desativa a sanitização de HTML antes de salvar as postagens. Isso permite que atacantes não autenticados criem postagens publicadas atribuídas a administradores que contenham scripts web arbitrários. Esses scripts são executados no navegador de qualquer visitante, incluindo administradores, resultando em Stored Cross-Site Scripting (Stored XSS), que é uma vulnerabilidade onde scripts maliciosos são armazenados permanentemente no servidor alvo. **Recomendações** Atualize o EONSR AEO Agent WordPress plugin para a versão 3.8.0 ou posterior.