Seongwon Lee

The WPBot WordPress plugin before 8.6.0 does not perform any capability or nonce check on the AJAX action that lists stored chat sessions, allowing unauthenticated attackers to retrieve the name, email address and phone number of every chat visitor by requesting a wide date range.

The Notiqoo WordPress plugin before 1.4.14 does not have capability checks on several of its AJAX actions and builds the name of the option to write from user input, allowing users with a role as low as contributor to modify arbitrary WordPress options, which can be used to deactivate Notiqoo WordPress plugin before 1.4.14 and to lock every administrator out of the site.

**Nome do Software Vulnerável e Versões Afetadas** Animation Addons for Elementor versões anteriores a 2.7.2 **Descrição** A validação insuficiente de valores fornecidos pelo usuário permite que usuários não autenticados manipulem o host de uma requisição HTTP do lado do servidor. Isso permite que o site envie requisições para hosts internos e leia as respostas, um comportamento conhecido como Server-Side Request Forgery (SSRF), no qual um invasor induz o servidor a fazer requisições para um local não pretendido. **Recomendações** Atualize o Animation Addons for Elementor para a versão 2.7.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** ECS WordPress plugin versões anteriores a 4.3.8 **Description** Verificações de capacidade e propriedade insuficientes em ações de repetidores dinâmicos permitem que usuários com contas de nível colaborador ou superior leiam, modifiquem e excluam a configuração de vinculação de postagens que não lhes pertencem. Além disso, esses usuários podem alterar as predefinições de todo o site. O sistema depende exclusivamente de um nonce, que está acessível a qualquer usuário capaz de abrir o construtor de páginas. **Recommendations** Atualize o ECS WordPress plugin para a versão 4.3.8 ou posterior.