Gai Tanaka

**Name of the Vulnerable Software and Affected Versions** baserCMS versions prior to 5.2.3 **Description** baserCMS is a website development framework. A cross-site scripting issue exists in blog posts within versions prior to 5.2.3. This issue was addressed with the release of version 5.2.3. **Recommendations** Update to version 5.2.3 or later.

**Nome do Software Vulnerável e Versões Afetadas** Video Share VOD – Plugin Turnkey Video Site Builder Script para WordPress versões até a 2.7.6 **Descrição** O plugin é vulnerável a Falsificação de Solicitação Entre Sites (CSRF) devido à validação de nonce ausente ou incorreta na função `adminExport()`. Isso permite que atacantes não autenticados atualizem configurações e potencialmente executem código remoto se a configuração de execução de comando do Servidor estiver habilitada, desde que consigam induzir um administrador do site a realizar uma ação. **Recomendações** Versões anteriores à 2.7.7 devem ser atualizadas. Como solução temporária, desative a configuração de execução de comando do Servidor.

Nome do Software Vulnerável e Versões Afetadas: Plugin Eventin para WordPress versões até a 4.0.37 Descrição: O plugin Eventin para WordPress está suscetível a Falsificação de Solicitação do Lado do Servidor (SSRF) através da função `proxy image`. Isso permite que atacantes não autenticados realizem requisições web para locais arbitrários originadas da aplicação web, potencialmente permitindo-lhes consultar e modificar informações de serviços internos. Recomendações: Atualize o plugin Eventin para uma versão superior à 4.0.37.

**Nome do Software Vulnerável e Versões Afetadas** Plugin StreamWeasels YouTube Integration para WordPress versões anteriores à 1.4.1 **Descrição** O plugin StreamWeasels YouTube Integration para WordPress está suscetível a Cross-Site Scripting Armazenado através do atributo `data-uuid` do plugin. A sanitização de entrada e o escape de saída insuficientes em atributos fornecidos pelo usuário permitem que atacantes autenticados com acesso de nível de contribuidor ou superior injetem scripts web arbitrários nas páginas. Esses scripts serão executados quando um usuário acessar a página injetada. **Recomendações** Atualize o plugin StreamWeasels YouTube Integration para a versão 1.4.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Plugin StreamWeasels Twitch Integration para WordPress versões até 1.9.3 **Descrição** O plugin StreamWeasels Twitch Integration para WordPress é vulnerável a Cross-Site Scripting (XSS) Armazenado via o atributo `data-uuid` do plugin devido à sanitização de entrada e escape de saída insuficientes em atributos fornecidos pelo usuário. Isso permite que atacantes autenticados com acesso de nível de contribuidor ou superior injetem scripts web arbitrários em páginas, que serão executados quando um usuário acessar a página injetada. **Recomendações** Atualize o plugin StreamWeasels Twitch Integration para uma versão superior à 1.9.3.

**Nome do Software Vulnerável e Versões Afetadas** Plugin StreamWeasels Kick Integration para WordPress versões até a 1.1.4 **Descrição** O plugin StreamWeasels Kick Integration para WordPress é suscetível a Cross-Site Scripting Armazenado através do atributo `data-uuid` do plugin. A sanitização de entrada e o escape de saída insuficientes em atributos fornecidos pelo usuário permitem que atacantes autenticados com acesso de nível de contribuidor ou superior injetem scripts web arbitrários nas páginas. Esses scripts serão executados quando um usuário acessar a página injetada. **Recomendações** Atualize o plugin StreamWeasels Kick Integration para WordPress para uma versão posterior à 1.1.4.

Nome do Software Vulnerável e Versões Afetadas: Versões do Uncanny Automator até a 6.4.0.1 (inclusive) Descrição: O plugin Uncanny Automator para WordPress é vulnerável à Injeção de Objeto PHP via desserialização de entrada não confiável na função `automator api decode message()`. Isso permite que atacantes autenticados, com acesso de nível de Assinante (Subscriber) ou superior, injetem um Objeto PHP. A presença de uma cadeia POP também permite que atacantes excluam arquivos arbitrários. Recomendações: Para versões até a 6.4.0.1 (inclusive), atualize para uma versão superior à 6.4.0.1 para resolver o problema. Como solução temporária, considere desativar a função `automator api decode message()` até que um patch esteja disponível. Restrinja o acesso à função `automator api decode message()` para minimizar o risco de exploração.