Vantastic

Unauthenticated Insecure Direct Object References (IDOR) in Kirki <= 6.0.11 versions.

**Nome do Software Vulnerável e Versões Afetadas** Uncanny Automator versões anteriores a 7.3.1.3 **Descrição** Existe um problema de Injeção de Objeto PHP não autenticado. A Injeção de Objeto PHP ocorre quando entradas não confiáveis são passadas para a função `unserialize()` do PHP, permitindo potencialmente que um invasor manipule objetos e execute código arbitrário. **Recomendações** Atualize para uma versão posterior à 7.3.1.2.

**Nome do Software Vulnerável e Versões Afetadas** Uncanny Automator Pro versões anteriores a 7.3.0.7 **Descrição** Existe um problema que permite a Injeção de Objeto PHP, uma condição em que entradas não confiáveis são passadas para a função `unserialize()`, potencialmente permitindo que um invasor manipule a lógica da aplicação ou execute código arbitrário. **Recomendações** Atualize para uma versão posterior à 7.3.0.6.

**Nome do Software Vulnerável e Versões Afetadas** Dokan Pro versões anteriores a 5.0.5 **Descrição** Um problema permite que usuários não autenticados realizem a escalada de privilégios, o que possibilita que um invasor obtenha níveis de acesso mais elevados no sistema sem fornecer credenciais válidas. **Recomendações** Atualize para uma versão posterior à 5.0.4.

**Nome do Software Vulnerável e Versões Afetadas** EventPrime versões anteriores a 4.3.4.2 **Descrição** Ocorre a Injeção de Objeto PHP quando uma aplicação desserializa dados não confiáveis, permitindo que um invasor manipule a estrutura do objeto e potencialmente execute código arbitrário ou realize ações não autorizadas. **Recomendações** Atualize para a versão 4.3.4.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Toolset Forms versões anteriores a 2.6.25 **Descrição** Existe uma Referência Direta a Objeto Insegura (IDOR) devido à falta de validação em uma chave controlada pelo usuário. Isso permite que atacantes não autenticados realizem ações não autorizadas. **Recomendações** Atualize o Toolset Forms para a versão 2.6.25 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** JetEngine versões anteriores a 3.8.10.2 **Descrição** Uma Injeção de SQL não autenticada permite que um invasor execute consultas SQL arbitrárias no banco de dados sem a necessidade de credenciais válidas. **Recomendações** Atualize para a versão 3.8.10.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** JetEngine versões anteriores a 3.8.11 **Descrição** O plugin JetEngine para WordPress contém uma falha de Cross-Site Scripting (XSS) Armazenado. Isso ocorre porque o software não sanitiza adequadamente a entrada e não escapa a saída, permitindo que atacantes não autenticados injetem scripts web arbitrários em páginas. Esses scripts são executados automaticamente sempre que um usuário acessa a página afetada. **Recomendações** Atualize o JetEngine para a versão 3.8.11 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** JetEngine versões anteriores a 3.8.11 **Descrição** O plugin JetEngine para WordPress contém uma falha de Cross-Site Scripting (XSS) Armazenado. Isso ocorre porque o software não sanitiza adequadamente a entrada e não escapa a saída, permitindo que atacantes não autenticados injetem scripts web arbitrários em páginas. Esses scripts são executados automaticamente sempre que um usuário acessa a página afetada. **Recomendações** Atualize o JetEngine para a versão 3.8.11 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** JetEngine versões anteriores a 3.8.11 **Descrição** O plugin JetEngine para WordPress permite que atacantes não autenticados realizem a Injeção de Objeto PHP através da desserialização de entradas não confiáveis. A Injeção de Objeto PHP ocorre quando uma aplicação desserializa dados de uma fonte não confiável, potencialmente permitindo que um atacante manipule as propriedades do objeto. Embora nenhuma POP chain (uma sequência de gadgets usada para alcançar a execução de código) esteja presente no software em si, a presença de uma POP chain em outro plugin ou tema instalado poderia permitir a exclusão de arquivos arbitrários, a recuperação de dados sensíveis ou a execução remota de código. **Recomendações** Atualize o JetEngine para uma versão posterior à 3.8.10.

**Nome do Software Vulnerável e Versões Afetadas** LearnPress versões anteriores a 4.3.6 **Description** A neutralização inadequada de entradas durante a geração de páginas web permite o Cross-Site Scripting (XSS) Refletido, uma falha onde a aplicação inclui dados não confiáveis em uma página web sem a devida validação, permitindo que atacantes executem scripts maliciosos no navegador da vítima. **Recommendations** Atualize para uma versão posterior a 4.3.6.