Gen Sato

**Nome do software vulnerável e versões afetadas** Versões anteriores à 1.8.6 do plugin “Download Plugins and Themes from Dashboard” **Descrição** Existe uma vulnerabilidade de traversal de caminho que, se explorada, permite que um invasor remoto autenticado com o privilégio `switch themes` obtenha arquivos arbitrários no servidor. **Recomendações** Para versões anteriores à 1.8.6, atualize para a versão 1.8.6 ou posterior para resolver o problema. Como solução temporária, considere restringir o privilégio `switch themes` para minimizar o risco de exploração.

**Name of the Vulnerable Software and Affected Versions** CubeCart versions prior to 6.5.3 **Description** The issue allows a remote authenticated attacker with administrative privileges to execute an arbitrary OS command. **Recommendations** For versions prior to 6.5.3, update to version 6.5.3 or later to resolve the issue.

**Name of the Vulnerable Software and Affected Versions** CubeCart versions prior to 6.5.3 **Description** A cross-site request forgery issue allows a remote unauthenticated attacker to delete data in the system. **Recommendations** For versions prior to 6.5.3, update to version 6.5.3 or later to resolve the issue.

**Name of the Vulnerable Software and Affected Versions** CubeCart versions prior to 6.5.3 **Description** A directory traversal issue allows a remote authenticated attacker with administrative privileges to delete directories and files in the system. **Recommendations** For versions prior to 6.5.3, update to version 6.5.3 or later to resolve the issue.

**Name of the Vulnerable Software and Affected Versions** CubeCart versions prior to 6.5.3 **Description** A directory traversal issue allows a remote authenticated attacker with administrative privileges to obtain files in the system. **Recommendations** For versions prior to 6.5.3, update to version 6.5.3 or later to resolve the issue.

**Name of the Vulnerable Software and Affected Versions** Amelia versions prior to 1.0.76 **Description** A cross-site scripting issue allows a remote unauthenticated attacker to inject an arbitrary script by having a user visit a malicious URL, potentially affecting WordPress installations with the Amelia plugin. **Recommendations** For versions prior to 1.0.76, update to version 1.0.76 or later to resolve the issue.

**Name of the Vulnerable Software and Affected Versions** Newsletter versions prior to 7.6.9 **Description** The issue is a cross-site scripting vulnerability that allows a remote unauthenticated attacker to inject an arbitrary script. This can be exploited to conduct cross-site scripting attacks. The vulnerability exists due to inadequate protection of the web page structure. **Recommendations** For versions prior to 7.6.9, update to version 7.6.9 or later to resolve the issue. As a temporary workaround, consider restricting access to the Newsletter plugin to minimize the risk of exploitation. Avoid using the plugin until the issue is resolved.

**Nome do software vulnerável e versões afetadas** Versões do sistema de agendamento de salões anteriores à 7.9 **Descrição** Uma vulnerabilidade de cross-site scripting permite que um invasor remoto não autenticado injete um script arbitrário. **Recomendações** Para versões anteriores à 7.9, atualize para a versão 7.9 ou posterior para resolver o problema.

**Nome do software vulnerável e versões afetadas: Booking Package - Sistema de agendamento de consultas, versões anteriores à 1.5.11 Descrição: Uma vulnerabilidade de cross-site scripting permite que um invasor remoto injete um script arbitrário por meio de vetores não especificados. Recomendações: Para versões anteriores à 1.5.11, atualize para a versão 1.5.11 ou posterior para resolver o problema. Como solução temporária, considere restringir a entrada de dados do usuário para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas: Versões do Quiz And Survey Master anteriores à 7.1.14 Descrição: Uma vulnerabilidade de script entre sites permite que um invasor remoto injete scripts arbitrários por meio de vetores não especificados. Recomendações: Para versões anteriores à 7.1.14, atualize para a versão 7.1.14 ou posterior para resolver o problema.

**Nome do software vulnerável e versões afetadas: Versões do WP Fastest Cache anteriores à 0.9.1.7 Descrição: Uma vulnerabilidade de traversal de diretório permite que um invasor remoto com privilégios de administrador exclua arquivos arbitrários no servidor. Recomendações: Para versões do WP Fastest Cache anteriores à 0.9.1.7, atualize para a versão 0.9.1.7 ou posterior para resolver o problema.

**Nome do software vulnerável e versões afetadas: Versões do Paid Memberships Pro anteriores à 2.5.6 Descrição: A vulnerabilidade permite que invasores remotos autenticados executem comandos SQL arbitrários por meio de vetores não especificados. Isso pode ser explorado por invasores para manipular consultas ao banco de dados, levando potencialmente ao acesso ou modificação não autorizada de dados. Recomendações: Para versões anteriores à 2.5.6, atualize para a versão 2.5.6 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso a operações sensíveis no banco de dados para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas** Simple Download Monitor versões 3.8.8 e anteriores **Descrição** A falha permite que invasores remotos executem comandos SQL arbitrários por meio de uma URL especialmente criada. Isso pode ser feito explorando uma vulnerabilidade de injeção de SQL. **Recomendações** Para as versões 3.8.8 e anteriores do Simple Download Monitor, atualize para uma versão posterior à 3.8.8 para resolver o problema. No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Simple Download Monitor, versões 3.8.8 e anteriores **Descrição** Uma vulnerabilidade de cross-site scripting permite que invasores remotos injetem um script arbitrário por meio de vetores não especificados. **Recomendações** Para as versões 3.8.8 e anteriores do Simple Download Monitor, no momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

**Name of the Vulnerable Software and Affected Versions** EC-CUBE plugin 'Amazon Pay Plugin 2.12,2.13' version 2.4.2 and earlier **Description** A cross-site scripting issue allows remote attackers to inject arbitrary web script or HTML via unspecified vectors. **Recommendations** For EC-CUBE plugin 'Amazon Pay Plugin 2.12,2.13' version 2.4.2 and earlier, update to a version later than 2.4.2 to resolve the issue.

**Name of the Vulnerable Software and Affected Versions** EC-CUBE Payment Module (2.12) versions 3.5.23 and earlier EC-CUBE Payment Module (2.11) versions 2.3.17 and earlier GMO-PG Payment Module (PG Multi-Payment Service) (2.12) versions 3.5.23 and earlier GMO-PG Payment Module (PG Multi-Payment Service) (2.11) versions 2.3.17 and earlier **Description** The issue allows an attacker with administrative rights to execute arbitrary PHP code on the server. This can be achieved via unspecified vectors, indicating a potential input validation problem. **Recommendations** For EC-CUBE Payment Module (2.12) versions 3.5.23 and earlier, update to a version later than 3.5.23. For EC-CUBE Payment Module (2.11) versions 2.3.17 and earlier, update to a version later than 2.3.17. For GMO-PG Payment Module (PG Multi-Payment Service) (2.12) versions 3.5.23 and earlier, update to a version later than 3.5.23. For GMO-PG Payment Module (PG Multi-Payment Service) (2.11) versions 2.3.17 and earlier, update to a version later than 2.3.17.

**Name of the Vulnerable Software and Affected Versions** EC-CUBE Payment Module versions 3.5.23 and earlier EC-CUBE Payment Module (2.11) version 2.3.17 and earlier GMO-PG Payment Module (PG Multi-Payment Service) versions 3.5.23 and earlier GMO-PG Payment Module (PG Multi-Payment Service) (2.11) version 2.3.17 and earlier **Description** A cross-site scripting issue exists, allowing an attacker with administrator rights to inject arbitrary web script or HTML via unspecified vectors. **Recommendations** For EC-CUBE Payment Module versions 3.5.23 and earlier, update to a version later than 3.5.23. For EC-CUBE Payment Module (2.11) version 2.3.17 and earlier, update to a version later than 2.3.17. For GMO-PG Payment Module (PG Multi-Payment Service) versions 3.5.23 and earlier, update to a version later than 3.5.23. For GMO-PG Payment Module (PG Multi-Payment Service) (2.11) version 2.3.17 and earlier, update to a version later than 2.3.17.

**Name of the Vulnerable Software and Affected Versions** Ultimate Member plugin versions prior to 2.0.4 **Description** A cross-site scripting issue allows remote attackers to inject arbitrary web script or HTML. **Recommendations** For Ultimate Member plugin versions prior to 2.0.4, update to version 2.0.4 or later to resolve the issue.

**Name of the Vulnerable Software and Affected Versions** Ultimate Member plugin versions prior to 2.0.4 **Description** The issue allows remote authenticated attackers to read arbitrary files due to a directory traversal vulnerability in the shortcodes function. **Recommendations** For versions prior to 2.0.4, update to version 2.0.4 or later to resolve the issue.

**Name of the Vulnerable Software and Affected Versions** Ultimate Member plugin versions prior to 2.0.4 **Description** The issue allows remote authenticated users to upload arbitrary image files. **Recommendations** For versions prior to 2.0.4, update to version 2.0.4 or later to resolve the issue.