Stealthcopter

**Nome do Software Vulnerável e Versões Afetadas** LiteSpeed Cache versões anteriores a 7.8 **Description** O plugin LiteSpeed Cache para WordPress contém um problema de Stored Cross-Site Scripting. Isso ocorre devido a uma expressão regular falha usada para remover os atributos `width` e `height` de imagens quando os recursos Lazy Load Images e Add Missing Sizes estão ativos. Atacantes autenticados com nível de acesso de Autor ou superior podem injetar scripts web arbitrários em páginas, que são executados sempre que um usuário acessa a página afetada. **Recommendations** Atualize o plugin para a versão 7.8 ou posterior. Como medida de mitigação temporária, desative os recursos Lazy Load Images e Add Missing Sizes.

**Nome do Software Vulnerável e Versões Afetadas** Speed Optimizer versões anteriores a 7.8.1 **Descrição** A sanitização de entrada e a escape de saída insuficientes permitem que atacantes autenticados com nível de acesso de contribuidor ou superior realizem Stored Cross-Site Scripting. Isso ocorre por meio de atributos de tags de imagem, permitindo a injeção de scripts web arbitrários em páginas que são executados quando acessados por outros usuários. Este problema só é explorável se a opção Lazy Load Media estiver habilitada nas configurações do plugin. **Recomendações** Atualize para uma versão posterior à 7.8.0. Desative a opção Lazy Load Media nas configurações do plugin como uma medida de mitigação temporária.

**Nome do Software Vulnerável e Versões Afetadas** ProfilePress versões anteriores a 4.16.20 **Descrição** Atacantes autenticados com nível de acesso de assinante ou superior podem executar shortcodes arbitrários. Isso ocorre porque o software não valida adequadamente os valores antes de executar a função `do shortcode()`. O problema persiste apesar de mitigações parciais usando `strip shortcodes()` em `[profile-first-name]` e `[profile-last-name]`, pois estas podem ser ignoradas através do caminho de renderização `[profile-display-name format="first last names"]`, do caminho de renderização `[profile-bio]` ou da sequência de escape de colchetes duplos `[[tag]]`. **Recomendações** Atualize para uma versão posterior à 4.16.19.

**Nome do Software Vulnerável e Versões Afetadas** The Newsletter, SMTP, Email marketing and Subscribe forms by Brevo (formely Sendinblue) plugin for WordPress versões anteriores a 3.1.78 **Description** A sanitização insuficiente de entrada e a escape inadequada de saída permitem que atacantes não autenticados realizem Reflected Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são injetados em uma página web e executados no navegador da vítima. Isso ocorre através do parâmetro `page`, permitindo a execução de scripts web arbitrários se um usuário for enganado para clicar em um link malicioso. **Recommendations** Atualize o plugin para a versão 3.1.78 ou posterior. Como mitigação temporária, restrinja ou sanitize o uso do parâmetro `page`.

**Name of the Vulnerable Software and Affected Versions** WP Rocket versions through 3.19.4 **Description** A flaw exists in WP Rocket that allows for Stored Cross-Site Scripting (XSS). This issue is due to improper neutralization of input during web page generation. An attacker could potentially inject malicious scripts into web pages viewed by other users. The vulnerability affects the WP Rocket plugin. **Recommendations** Update WP Rocket to a version later than 3.19.4.

**Name of the Vulnerable Software and Affected Versions** Crocoblock JetEngine versions through 3.7.2 **Description** A flaw exists in Crocoblock JetEngine that allows for Remote Code Inclusion due to improper control of code generation. This issue, identified as a 'Code Injection', could potentially allow an attacker to execute arbitrary code. **Recommendations** Update Crocoblock JetEngine to a version newer than 3.7.2.

**Nome do Software Vulnerável e Versões Afetadas** Versões do MapSVG até 8.7.3 **Descrição** O software contém uma falha que permite o upload irrestrito de arquivos de tipos perigosos. Isso permite o upload de um web shell para um servidor web. O problema concede aos atacantes capacidades de web shell com autenticação mínima. **Recomendações** Versões anteriores à 8.7.3 devem ser atualizadas.

**Nome do Software Vulnerável e Versões Afetadas** Versões do CrocoBlock JetBlog até a 2.4.4.1 **Descrição** Existe uma falha no CrocoBlock JetBlog que permite Cross-site Scripting (XSS) Armazenado. Este problema ocorre devido à neutralização inadequada de entrada durante a geração da página web. Um invasor poderia potencialmente injetar scripts maliciosos em páginas web visualizadas por outros usuários. O componente vulnerável é `jet-blog`. **Recomendações** Atualize o CrocoBlock JetBlog para uma versão posterior à 2.4.4.1.

**Nome do Software Vulnerável e Versões Afetadas** Versões do CrocoBlock JetBlog até 2.4.4 **Descrição** O software contém uma falha devido à neutralização inadequada de entrada durante a geração da página web, especificamente uma vulnerabilidade de Cross-site Scripting (XSS) Refletido. Isso permite a injeção de scripts maliciosos em páginas web. O componente afetado é `jet-blog`. **Recomendações** Atualize o CrocoBlock JetBlog para uma versão posterior à 2.4.4.

**Nome do Software Vulnerável e Versões Afetadas** Versões do CrocoBlock JetReviews até a 3.0.0 **Descrição** Existe uma falha no CrocoBlock JetReviews que permite a Inclusão de Arquivo Local em PHP devido ao controle inadequado do nome do arquivo nas instruções include/require. Este problema está relacionado a uma vulnerabilidade de Inclusão de Arquivo Remoto em PHP. **Recomendações** Atualize o JetReviews para uma versão superior à 3.0.0.

**Nome do Software Vulnerável e Versões Afetadas** Versões do CrocoBlock JetSearch até a 3.5.10 **Descrição** O software contém uma falha devido à neutralização inadequada de entrada durante a geração da página web, resultando em uma condição de Cross-Site Scripting (XSS) Refletido. Isso permite que um atacante injete scripts maliciosos em páginas web visualizadas por outros usuários. O componente afetado é `jet-search`. **Recomendações** Atualize para uma versão posterior à 3.5.10.

**Nome do Software Vulnerável e Versões Afetadas** captivateaudio Captivate Sync versões até a 3.0.3 **Descrição** Existe uma falha no captivateaudio Captivate Sync captivatesync-trade relacionada à desserialização de dados não confiáveis, potencialmente levando à injeção de objetos. **Recomendações** Atualize o captivateaudio Captivate Sync para uma versão posterior à 3.0.3.

**Nome do Software Vulnerável e Versões Afetadas** Versões do CrocoBlock JetSearch até a 3.5.10 **Descrição** Existe uma falha no CrocoBlock JetSearch que permite Injeção de SQL Cega devido à neutralização inadequada de elementos especiais usados em comandos SQL. Esse problema poderia potencialmente permitir que um invasor comprometa o banco de dados. **Recomendações** Atualize o CrocoBlock JetSearch para uma versão posterior à 3.5.10.

**Nome do Software Vulnerável e Versões Afetadas** Versões do CrocoBlock JetWooBuilder até a 2.1.20.1 **Descrição** Existe uma falha no CrocoBlock JetWooBuilder que permite Cross-site Scripting (XSS) Armazenado. Este problema ocorre devido à neutralização inadequada de entrada durante a geração da página web. A exploração bem-sucedida pode permitir que um atacante injete scripts maliciosos em páginas web visualizadas por outros usuários. O componente vulnerável é `jet-woo-builder`. **Recomendações** Atualize o JetWooBuilder para uma versão posterior à 2.1.20.1.

**Nome do Software Vulnerável e Versões Afetadas** Versões do CrocoBlock JetWooBuilder até a 2.1.20 **Descrição** Existe uma falha no CrocoBlock JetWooBuilder que permite Cross-site Scripting (XSS) baseado em DOM. Este problema ocorre devido à neutralização inadequada de entrada durante a geração da página web. A vulnerabilidade poderia potencialmente permitir que um atacante injetasse scripts maliciosos em páginas web visualizadas por outros usuários. O componente afetado é `jet-woo-builder`. **Recomendações** Atualize o CrocoBlock JetWooBuilder para uma versão posterior à 2.1.20.

**Nome do Software Vulnerável e Versões Afetadas** Versões do CrocoBlock JetBlocks For Elementor até a 1.3.18 **Descrição** Existe uma falha no CrocoBlock JetBlocks For Elementor que permite Cross-Site Scripting (XSS) Armazenado. Este problema envolve neutralização inadequada de entrada durante a geração da página web. A vulnerabilidade poderia potencialmente permitir que um atacante injetasse scripts maliciosos em páginas web visualizadas por outros usuários. O componente afetado é `jet-blocks`. **Recomendações** Atualize o CrocoBlock JetBlocks For Elementor para uma versão posterior à 1.3.18.

**Nome do Software Vulnerável e Versões Afetadas** Versões do CrocoBlock JetEngine até 3.7.3 **Descrição** Existe uma vulnerabilidade de Cross-Site Scripting (XSS) Armazenado no CrocoBlock JetEngine. Isso permite a injeção de scripts maliciosos em páginas web. O problema ocorre devido à neutralização inadequada de entrada durante a geração de páginas web. A vulnerabilidade afeta o componente `jet-engine`. **Recomendações** Atualize o CrocoBlock JetEngine para uma versão superior a 3.7.3.

**Nome do Software Vulnerável e Versões Afetadas** CrocoBlock JetElements For Elementor versões até a 2.7.8 **Descrição** Existe uma falha no CrocoBlock JetElements For Elementor que permite Cross-Site Scripting (XSS) Armazenado. Este problema ocorre devido à neutralização inadequada de entrada durante a geração da página web. A exploração bem-sucedida pode permitir que um invasor injete scripts maliciosos em páginas web visualizadas por outros usuários. A vulnerabilidade afeta o componente `jet-elements`. **Recomendações** Atualize o CrocoBlock JetElements For Elementor para uma versão superior à 2.7.8.

Nome do Software Vulnerável e Versões Afetadas: Versões do Rentsyst até a 2.0.100 Descrição: O software contém um problema de Neutralização Imprópria de Entrada Durante a Geração de Página Web, resultando em Cross-Site Scripting (XSS) Refletido. Recomendações: Atualize o Rentsyst para uma versão posterior à 2.0.100.

Nome do Software Vulnerável e Versões Afetadas: Crocoblock JetElements For Elementor versões n/a até 2.7.7 Descrição: Existe uma falha no Crocoblock JetElements For Elementor que permite a obtenção de dados sensíveis incorporados devido à inserção de informações sensíveis nos dados enviados. Recomendações: Atualize o Crocoblock JetElements For Elementor para uma versão superior a 2.7.7.