Ryan Fabella

The Nexi XPay Build WordPress plugin from 7.6.1 to 7.6.2 does not verify that the saved payment token being requested belongs to the current user, allowing unauthenticated attackers to retrieve other customers' stored card token references together with a valid authorisation signature.

**Nome do Software Vulnerável e Versões Afetadas** Login & Register Forms versões anteriores a 4.0.2 **Description** Quando o modo de redefinição de código de verificação está ativado, o plugin não impõe os limites de tentativas de redefinição de senha usando um valor derivado do servidor. Em vez disso, ele utiliza dados controlados pelo cliente tanto para o código de verificação quanto para o contador de tentativas por origem. Isso permite que invasores não autenticados resetem o limite de tentativas e realizem ataques de força bruta no código de verificação para assumir o controle de qualquer conta, incluindo contas de administradores. **Recommendations** Atualize o Login & Register Forms para a versão 4.0.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** MultiVendorX WordPress plugin versões anteriores a 5.0.11 **Descrição** Existe um problema onde o plugin não verifica se a loja solicitada pertence ao usuário atual em um endpoint de REST API. Isso permite que qualquer usuário com privilégios de vendedor acesse e leia os dados financeiros e de comissão de outros vendedores. **Recomendações** Atualize o MultiVendorX WordPress plugin para a versão 5.0.11 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Podlove Podcast Publisher versões anteriores a 4.5.3 **Description** Ocorre Cross-Site Request Forgery (CSRF) porque o plugin não realiza a validação de nonce—um mecanismo de segurança usado para proteger contra requisições forjadas—em certas ações administrativas de criação e exclusão. Isso permite que um invasor engane um administrador autenticado para visitar uma página manipulada, o que pode resultar na criação de registros falsos ou na exclusão de registros legítimos. **Recommendations** Atualize o Podlove Podcast Publisher para a versão 4.5.3 ou posterior.