Fariqfgi

**Nome do software vulnerável e versões afetadas** Plugin ELEX WooCommerce Dynamic Pricing and Discounts para o WordPress, versões até a 2.1.7, inclusive **Descrição** O problema decorre da falta de verificação de permissão nas funções `elex dp export rules()` e `elex dp import rules()`, permitindo acesso não autorizado aos dados. Isso permite que invasores não autenticados importem e exportem regras de produtos, bem como obtenham dados de `phpinfo()`. **Recomendações** Para versões até a 2.1.7, inclusive, considere desativar as funções `elex dp export rules()` e `elex dp import rules()` até que um patch esteja disponível para impedir o acesso não autorizado aos dados. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Plugin Advanced iFrame para WordPress, versões até e incluindo a 2024.1 **Descrição** O plugin Advanced iFrame para WordPress está vulnerável a Stored Cross-Site Scripting (XSS) armazenado por meio do shortcode `advanced iframe` do plugin. Essa vulnerabilidade se deve ao fato de o plugin permitir que usuários incluam arquivos JS de fontes externas por meio do atributo `additional js`. Invasores autenticados com permissões de nível de colaborador ou superior podem injetar scripts web arbitrários em páginas, que serão executados sempre que um usuário acessar uma página injetada. **Recomendações** Para versões até e incluindo a 2024.1, considere desativar o shortcode `advanced iframe` até que uma correção esteja disponível para impedir a exploração. Restrinja o acesso ao atributo `additional js` para minimizar o risco de injeção de scripts web arbitrários. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.