Philipp Doblhofer

The Bookit — Booking & Appointment Calendar WordPress plugin before 2.6.0.1 does not properly restrict the data returned by an availability-check request, allowing unauthenticated users to retrieve other customers' appointment details, including free-text booking comments and contact information.

The MultiVendorX WordPress plugin before 5.0.16 does not restrict who can update its role and capability settings, allowing users holding its vendor role to grant that role administrator-level capabilities and take over the site.

The CoolClock WordPress plugin before 4.3.8 does not properly escape a custom skin setting before outputting it inside an inline script, allowing users with contributor-level access and above to inject arbitrary JavaScript that executes when the content is viewed.

The CoolClock WordPress plugin before 4.3.8 does not properly escape a skin setting before outputting it within an HTML attribute, allowing users with contributor-level access and above to inject arbitrary web scripts that execute when the content is viewed.

The Loops & Logic WordPress plugin before 4.3.0 does not restrict its public template-data action to the data a visitor is permitted to see, allowing unauthenticated users to read arbitrary user records (including email addresses and roles) and arbitrary site options.

**Nome do Software Vulnerável e Versões Afetadas** EventPrime – Events Calendar, Bookings and Tickets versões anteriores a 4.3.4.3 **Descrição** Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Isso permite que invasores injetem scripts web arbitrários em páginas que são executados quando acessados por outros usuários. O problema é desencadeado através do parâmetro `new event type background color`. Se a configuração de Submissões de Convidados `allow submission by anonymous user` estiver habilitada, invasores não autenticados podem enviar tipos de eventos via formulário frontal. Caso contrário, a exploração requer, no mínimo, uma conta autenticada de nível assinante. **Recomendações** Atualize o EventPrime – Events Calendar, Bookings and Tickets para a versão 4.3.4.3 ou posterior. Desative a configuração `allow submission by anonymous user` para evitar a exploração por usuários não autenticados.

**Nome do Software Vulnerável e Versões Afetadas** Services Section Block – Showcase Service Details in Grid or Columns versões anteriores a 1.4.5 **Descrição** A sanitização de entrada e a escape de saída insuficientes permitem que atacantes autenticados com nível de acesso de contribuidor ou superior realizem Stored Cross-Site Scripting. Isso é feito através do atributo de bloco `link`, onde scripts web arbitrários podem ser injetados em páginas. O payload persiste dentro de comentários HTML em `post content`, ignorando a função de sanitização `wp kses post()` durante o processo de salvamento. O script é executado por meio da âncora de link de serviço primária ou de uma âncora secundária envolta no título quando a opção `linkIn` está definida como `title`. **Recomendações** Atualize para uma versão posterior a 1.4.4.