Revanth Meesala

The Kirki WordPress plugin before 6.3.0 does not check that a user is allowed to act on a collaboration comment before changing its state, allowing users whom an administrator has granted content-level access to the page builder to modify comments left by other users, including on pages they cannot themselves open.

**Nome do Software Vulnerável e Versões Afetadas** Form Maker by 10Web versões anteriores a 1.15.45 **Descrição** Este problema ocorre quando o software não parametriza adequadamente um valor controlado pelo usuário utilizado em uma consulta SQL dinâmica para um campo de escolha baseado em banco de dados. Isso permite que usuários com privilégios de assinante realizem uma injeção de SQL de segunda ordem, que é um tipo de ataque onde a entrada maliciosa é armazenada pelo aplicativo e posteriormente executada como um comando quando os dados armazenados são recuperados e usados em uma consulta diferente. A variável vulnerável é `display name`. **Recomendações** Atualize o Form Maker by 10Web para a versão 1.15.45 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Phoca Commander versões 1.0.0 through 6.1.1 **Description** A limitação inadequada de caminhos para ações de salvamento e download leva ao path traversal, uma condição na qual um invasor pode acessar arquivos e diretórios fora da pasta pretendida. **Recommendations** Atualize o Phoca Commander para uma versão posterior à 6.1.1.