Ren Voza

**Nome do Software Vulnerável e Versões Afetadas** ElementsKit Pro versões anteriores a 4.10.2 **Descrição** Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. O endpoint REST '/wp-json/elementskit/v1/advanced-search' permite acesso não autenticado porque o `permission callback` está definido como ` return true`. Os termos de pesquisa fornecidos via parâmetro `s` são armazenados na opção do WordPress `ekit advanced search popular keyword` através da função `update option()`. Embora o `sanitize text field()` seja utilizado, ele não codifica aspas duplas, e as palavras-chave armazenadas são renderizadas em atributos HTML via `sprintf()` sem o uso de `esc attr()`, permitindo a injeção de atributos. Isso possibilita que atacantes não autenticados injetem scripts web arbitrários que serão executados sempre que um usuário acionar a visualização de palavras-chave populares em resultados vazios em páginas que utilizam o widget de Busca Avançada. **Recomendações** Atualize o ElementsKit Pro para a versão 4.10.2 ou posterior. Como mitigação temporária, restrinja o acesso ao endpoint '/wp-json/elementskit/v1/advanced-search' ou evite o uso do widget de Busca Avançada.

**Nome do Software Vulnerável e Versões Afetadas** Mux Video Uploader versões anteriores a 1.1.5 **Descrição** O plugin Mux Video Uploader para WordPress contém uma falha que permite que usuários autenticados com nível de acesso de assinante ou superior exponham informações sensíveis. Isso ocorre por meio da função `muxvideo enqueue settings script`, permitindo que invasores extraiam dados sensíveis, incluindo credenciais da API do Mux. **Recomendações** Atualize o plugin para uma versão posterior a 1.1.4.

**Nome do Software Vulnerável e Versões Afetadas** WP Travel Pro versões anteriores a 10.6.1 **Description** O plugin permite que atacantes não autenticados excluam contas de usuários arbitrários, incluindo administradores. Isso ocorre por meio do endpoint de API REST '/wp-json/wp-travel/v1/travel-guide/{user id}' porque a função de retorno `check permission()` retorna verdadeiro incondicionalmente e o método `Database::delete()` passa a variável `user id` diretamente para `wp delete user()` sem realizar a validação de função (role). **Recommendations** Atualize para uma versão posterior a 10.6.0. Como medida paliativa temporária, restrinja o acesso ao endpoint '/wp-json/wp-travel/v1/travel-guide/{user id}' para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** Account Switcher versões anteriores a 1.0.3 **Descrição** O plugin Account Switcher para WordPress permite que atacantes autenticados com nível de acesso de Assinante (Subscriber) ou superior escalem privilégios para qualquer conta de usuário, incluindo Administrador. Isso ocorre porque o endpoint da REST API 'rememberLogin' utiliza uma comparação frouxa para a validação de segredos e não verifica se o segredo não está vazio. Se um usuário alvo nunca tiver utilizado o recurso Remember me, o meta dado de usuário `asSecret` estará vazio, permitindo que um atacante envie um parâmetro `secret` vazio para burlar a validação e acionar a função `wp set auth cookie()` para o usuário alvo. Além disso, todas as rotas REST utilizam `permission callback => ' return true'`, o que ignora as verificações de capacidade necessárias. **Recomendações** Atualize o plugin para uma versão posterior a 1.0.2. Como medida paliativa temporária, restrinja o acesso ao endpoint da REST API 'rememberLogin' para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** FOX – Currency Switcher Professional for WooCommerce versões anteriores a 1.4.6 **Descrição** O plugin está suscetível a perda de dados não autorizada porque a função `admin head()` carece de uma verificação de capacidade adequada. Usuários autenticados com nível de acesso Colaborador ou superior podem excluir toda a configuração de múltiplas moedas ao acessar qualquer página wp-admin com o parâmetro `woocs reset`. A ausência de verificação de nonce também permite que esta ação seja realizada via Cross-Site Request Forgery (CSRF) — uma técnica onde um invasor engana a vítima para realizar uma ação não pretendida — contra administradores. Além disso, usuários de nível Assinante podem explorar isso se a configuração do site permitir que eles acessem páginas wp-admin. **Recomendações** Atualize o plugin para uma versão posterior a 1.4.5.

**Nome do Software Vulnerável e Versões Afetadas** WeePie Cookie Allow versões anteriores a 3.4.12 **Descrição** A escape insuficiente de entradas fornecidas pelo usuário e a falta de preparação adequada em consultas SQL permitem que atacantes não autenticados realizem SQL Injection. Ao manipular o parâmetro `consent`, um atacante pode anexar consultas SQL adicionais para extrair informações sensíveis do banco de dados. **Recomendações** Atualize o plugin para a versão 3.4.12 ou posterior. Como medida de mitigação temporária, restrinja o acesso à funcionalidade que utiliza o parâmetro `consent`.

**Nome do Software Vulnerável e Versões Afetadas** App Builder – Create Native Android & iOS Apps On The Flight versões anteriores a 5.6.1 **Descrição** Uma Referência Direta a Objeto Insegura (IDOR) existe devido à falta de validação de autorização na função `upload avatar()`. O endpoint '/wp-json/app-builder/v1/upload-avatar' aceita um parâmetro `user id` controlado por um invasor no corpo da requisição POST e atualiza os metadados do usuário sem verificar se o requerente autenticado tem permissão para modificar a conta alvo. Isso permite que invasores autenticados com nível de acesso de Assinante (Subscriber) ou superior substituam o avatar de perfil de qualquer usuário, incluindo administradores. **Recomendações** Atualize para uma versão posterior a 5.6.0. Como medida paliativa temporária, restrinja o acesso ao endpoint '/wp-json/app-builder/v1/upload-avatar' ou desative a função `upload avatar()` até que a atualização seja aplicada.

**Name of the Vulnerable Software and Affected Versions** AcyMailing versões 9.11.0 até 10.8.1 **Description** A ausência de uma verificação de capacidade no manipulador AJAX 'wp ajax acymailing router' permite que atacantes autenticados com nível de acesso Assinante ou superior acessem controladores exclusivos de administradores, incluindo o gerenciamento de configuração. Esta falha permite a ativação do recurso de autologin e a criação de um assinante de newsletter malicioso com um `cms id` injetado apontando para qualquer usuário, permitindo que o atacante se autentique como esse usuário, incluindo administradores. **Recommendations** Atualizar para a versão 10.8.2.

**Name of the Vulnerable Software and Affected Versions** Woocommerce Custom Product Addons Pro versions prior to 5.4.2 **Description** The Woocommerce Custom Product Addons Pro plugin for WordPress is susceptible to Remote Code Execution. This occurs because of inadequate sanitization and validation of user-supplied field values before they are passed to PHP's `eval()` function. The `sanitize values()` method removes HTML tags but does not escape single quotes or prevent PHP code injection. This allows unauthenticated attackers to execute arbitrary code on the server by submitting a crafted value to a WCPA text field configured with a custom pricing formula (pricingType: "custom" with {this.value}). The vulnerable code resides in the `process custom formula()` function within the includes/process/price.php file. **Recommendations** Versions prior to 5.4.2 should be updated.

**Name of the Vulnerable Software and Affected Versions** Master Addons for Elementor Premium plugin for WordPress versions up to and including 2.1.3 **Description** The Master Addons for Elementor Premium plugin for WordPress is susceptible to Remote Code Execution via the `JLTMA Widget Admin::render preview` function. This is due to a missing capability check, allowing authenticated attackers with Subscriber-level access or higher to execute code on the server. **Recommendations** Versions prior to 2.1.4 should be updated.

**Nome do Software Vulnerável e Versões Afetadas** Product Options and Price Calculation Formulas for WooCommerce – Uni CPO (Premium) versões até 4.9.54 **Descrição** O plugin Product Options and Price Calculation Formulas for WooCommerce – Uni CPO (Premium) para WordPress apresenta uma falha na validação de tipo de arquivo. Especificamente, a função `uni cpo upload file` permite que atacantes não autenticados façam upload de arquivos arbitrários para o servidor. Isso poderia potencialmente levar à execução remota de código. **Recomendações** Atualize para uma versão posterior à 4.9.54.