Adrian Lukita

**Name of the Vulnerable Software and Affected Versions** Printful Integration for WooCommerce versions up to and including 2.2.11 **Description** The Printful Integration for WooCommerce plugin for WordPress is susceptible to Server-Side Request Forgery via the advanced size chart REST API endpoint. Insufficient validation of user-supplied URLs before they are passed to the `download url()` function allows authenticated attackers with Contributor-level access or higher to make web requests to arbitrary locations originating from the web application. This can potentially be used to query and modify information from internal services. **Recommendations** Update Printful Integration for WooCommerce to a version later than 2.2.11.

**Name of the Vulnerable Software and Affected Versions** Icegram Express - Email Subscribers, Newsletters and Marketing Automation Plugin for WordPress versions up to and including 5.9.10 **Description** The Icegram Express plugin for WordPress does not properly verify user authorization when performing actions. Specifically, the `run action scheduler task` function lacks sufficient checks, allowing unauthenticated attackers to execute scheduled actions prematurely or repeatedly. This is achieved by guessing action IDs, which could trigger email sends, maintenance tasks, or other privileged operations, leading to unexpected system behavior and resource consumption. **Recommendations** Versions prior to 5.9.10 are vulnerable. Update to a version greater than 5.9.10.

**Nome do Software Vulnerável e Versões Afetadas** Versões do ShopEngine Elementor WooCommerce Builder Addon até a 4.8.5 **Descrição** O plugin ShopEngine Elementor WooCommerce Builder Addon para WordPress está suscetível a Falsificação de Solicitação Entre Sites (CSRF). Isso é resultado da falta de validação de nonce na função `post add to list` e de um callback de permissões incorreto na função `Api/init`. Um atacante não autenticado pode adicionar ou remover produtos da lista de desejos de um usuário explorando uma solicitação forjada, desde que consiga enganar o usuário para realizar uma ação. **Recomendações** Atualize o ShopEngine Elementor WooCommerce Builder Addon para uma versão posterior à 4.8.5.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Icegram Express anteriores a 5.9.11 **Descrição** O plugin Icegram Express — Assinantes de E-mail, Newsletters e Automação de Marketing para WordPress não verifica corretamente a autorização do usuário ao executar ações dentro da função `trigger mailing queue sending`. Isso permite que atacantes não autenticados forcem o envio imediato de e-mails, contornando a programação, potencialmente aumentando a carga do servidor e alterando o estado do plugin, como o valor `last-cron-hit`, o que poderia levar a abusos ou efeitos semelhantes a negação de serviço. **Recomendações** Atualize o Icegram Express para a versão 5.9.11 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Qi Blocks anteriores à 1.4.4 **Descrição** O plugin Qi Blocks para WordPress possui uma falha que permite acesso não autorizado devido à ausência de uma verificação de capacidade na função `resize image callback()`. Isso ocorre porque o plugin não verifica se um usuário possui a permissão necessária para redimensionar um anexo específico. Atacantes autenticados com acesso de nível de Contribuidor ou superior podem redimensionar imagens da biblioteca de mídia pertencentes a outros usuários. Isso pode levar à gravação não intencional de arquivos, aumento do consumo de disco e abuso de recursos do servidor através do processamento de imagens grandes. **Recomendações** Atualize o Qi Blocks para a versão 1.4.4 ou posterior.

**Name of the Vulnerable Software and Affected Versions** Better Find and Replace – AI-Powered Suggestions plugin for WordPress versions through 1.7.7 **Description** The software is susceptible to unauthorized API usage because of a missing capability check within the `rtafar ajax()` function. This allows authenticated attackers with Subscriber-level access to initiate OpenAI API key usage, potentially leading to quota consumption and associated costs. **Recommendations** Update to a version newer than 1.7.7.

**Nome do Software Vulnerável e Versões Afetadas** Plugin Qi Blocks para WordPress, versões até e incluindo a 1.4.3 **Descrição** O plugin Qi Blocks para WordPress é vulnerável a uma falha de autorização. O plugin armazena estilos CSS arbitrários enviados através do endpoint da API `qi-blocks/v1/update-styles` sem sanitização adequada dentro da função `update global styles callback()`. Isso permite que atacantes autenticados com acesso de nível de Contribuidor ou superior injetem CSS arbitrário. Essa injeção de CSS pode ser aproveitada para ocultar conteúdo, sobrepor elementos de interface enganosos ou potencialmente roubar informações sensíveis. **Recomendações** Atualize o plugin Qi Blocks para uma versão superior à 1.4.3.