She11F

**Nome do Software Vulnerável e Versões Afetadas** MailChimp Subscribe Form, Optin Builder, PopUp Builder, Form Builder plugin for WordPress versões anteriores a 4.3.4 **Description** Ocorre Cross-Site Scripting (XSS) Armazenado devido à sanitização de entrada e escape de saída insuficientes. Isso permite que atacantes não autenticados injetem scripts web arbitrários em páginas por meio de valores de campos de formulário, que são executados sempre que um usuário acessa a página afetada. **Recommendations** Atualize o plugin para a versão 4.3.4 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** WOLF WordPress plugin versões anteriores a 1.1.0 **Description** O plugin não realiza a verificação de nonce (um token único usado para prevenir ataques de repetição) ou de capacidade em uma ação AJAX. Isso permite que um invasor não autenticado execute uma requisição cross-site que engana um administrador conectado para escrever conteúdo arbitrário, como scripts maliciosos, em uma postagem, resultando em Cross-Site Scripting (XSS) armazenado. **Recommendations** Atualize o WOLF WordPress plugin para a versão 1.1.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Kali Forms — Contact Form & Drag-and-Drop Builder WordPress plugin versões anteriores a 2.4.13 **Description** Ocorre Cross-Site Scripting (XSS) Armazenado porque o plugin não sanitiza a legenda de um campo de formulário antes de exibi-la como um cabeçalho de coluna na tela de entradas de formulário do administrador. Isso permite que usuários com nível de acesso Colaborador ou superior armazenem JavaScript que é executado na sessão de um administrador. Além disso, a ausência de uma verificação de capacidade na ação de duplicação de postagens permite que um Colaborador publique o formulário malicioso para que um administrador o renderize. **Recommendations** Atualize o Kali Forms — Contact Form & Drag-and-Drop Builder WordPress plugin para a versão 2.4.13 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Business Directory versões anteriores a 6.4.23 **Descrição** Ocorre Cross Site Scripting (XSS) na função de Assinante (Subscriber), permitindo que um invasor execute scripts maliciosos no navegador de outros usuários. **Recomendações** Atualize para uma versão posterior à 6.4.22.

**Nome do Software Vulnerável e Versões Afetadas** Visual Link Preview versões 2.3.1 e anteriores **Descrição** Ocorre a exposição de dados sensíveis de assinantes no software, permitindo potencialmente o acesso não autorizado a informações privadas. **Recomendações** Desative ou isole o software imediatamente. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** WooCommerce PDF Invoice Builder versões anteriores a 2.0.9 **Descrição** O Controle Impróprio de Geração de Código permite a Inclusão Remota de Código, possibilitando que um invasor não autenticado realize a injeção completa de código via inclusão de arquivo remoto. **Recomendações** Atualize para uma versão posterior a 2.0.8.

**Nome do Software Vulnerável e Versões Afetadas** WP Ticket versões anteriores a 6.0.5 **Description** O plugin WP Ticket para WordPress permite que atacantes não autenticados extraiam informações sensíveis do banco de dados. O problema ocorre durante pesquisas front-end não autenticadas, quando o plugin utiliza o filtro `posts request` através da função `wp ticket com posts request()`, que subsequentemente chama a função `emd author search results()`. Esta função processa o parâmetro de consulta `s` de `$query->query vars['s']` sem utilizar `$wpdb->prepare()` ou a sanitização adequada, concatenando o valor bruto em uma cláusula SQL `LIKE` dentro de um sub-SELECT UNION. Essa ausência de sanitização permite a injeção de consultas SQL adicionais em requisições de banco de dados já existentes. **Recommendations** Atualize para uma versão posterior a 6.0.4.

**Nome do Software Vulnerável e Versões Afetadas** ZAYTECH Smart Online Order for Clover versões anteriores ou iguais a 1.6.0 **Descrição** Um problema envolvendo a inserção de informações sensíveis em dados enviados permite a recuperação de dados sensíveis incorporados. **Recomendações** Atualize o ZAYTECH Smart Online Order for Clover para uma versão posterior a 1.6.0.

**Nome do Software Vulnerável e Versões Afetadas** ZAYTECH Smart Online Order for Clover versões anteriores a 1.6.0 **Descrição** Existe uma falha de bypass de autenticação no ZAYTECH Smart Online Order for Clover, permitindo que um invasor ignore os mecanismos de autenticação utilizando um caminho ou canal alternativo. **Recomendações** Atualize para uma versão posterior a 1.6.0.

**Nome do Software Vulnerável e Versões Afetadas** ZAYTECH Smart Online Order for Clover versões anteriores a 1.6.1 **Descrição** A neutralização inadequada de entradas durante a geração de páginas web permite o Cross-site Scripting (XSS) Armazenado, uma condição em que scripts maliciosos são armazenados permanentemente no servidor alvo e posteriormente servidos a outros usuários. **Recomendações** Atualize para uma versão posterior a 1.6.0.

**Nome do Software Vulnerável e Versões Afetadas** Geo Mashup versões anteriores a 1.13.20 **Description** O Geo Mashup está sujeito a Cross-site Scripting (XSS) Refletido, que ocorre quando uma aplicação inclui dados não confiáveis em uma página web sem a devida validação ou codificação, permitindo que um invasor execute scripts maliciosos no navegador da vítima. **Recommendations** Atualize para uma versão posterior a 1.13.19.

**Nome do Software Vulnerável e Versões Afetadas** AWP Classifieds versões anteriores a 4.4.6 **Descrição** O plugin AWP Classifieds para WordPress contém uma falha de autorização ausente resultante de um nível de controle de acesso configurado incorretamente. Isso ocorre devido à ausência de uma verificação de capacidade em uma função, permitindo que atacantes não autenticados realizem ações não autorizadas. **Recomendações** Atualize o plugin para a versão 4.4.6 ou posterior.