George Stephanis

**Nome do software vulnerável e versões afetadas: Versões do plugin Patreon para WordPress anteriores à 1.7.0 Descrição: Foi identificada uma vulnerabilidade de divulgação de arquivos locais no plugin Patreon para WordPress que poderia ser explorada por qualquer pessoa que visitasse o site, levando potencialmente ao vazamento de arquivos internos importantes, como o wp-config.php, que contém credenciais de banco de dados e chaves criptográficas usadas para a geração de nonces e cookies. Recomendações: Para versões anteriores à 1.7.0, atualize para a versão 1.7.0 ou posterior para resolver o problema.

**Nome do software vulnerável e versões afetadas: Versões do plugin Patreon para WordPress anteriores à 1.7.2 Descrição: Foi identificada uma vulnerabilidade de Cross-Site Scripting refletido no formulário de login do plugin Patreon para WordPress. O plugin se integra ao formulário de login do WordPress, permitindo que os usuários se autentiquem usando sua conta do Patreon. No entanto, a lógica de registro de erros permitia que entradas controladas pelo usuário fossem refletidas na página de login sem a devida sanitização. Recomendações: Para versões anteriores à 1.7.2, atualize para a versão 1.7.2 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao formulário de login até que a atualização seja aplicada.

**Nome do software vulnerável e versões afetadas: Versões do plugin Patreon para WordPress anteriores à 1.7.2 Descrição: Foi identificada uma vulnerabilidade de Cross-Site Scripting refletido no plugin Patreon para WordPress. A vulnerabilidade está relacionada à ação AJAX `patreon save attachment patreon level`, usada para atualizar o nível de contribuição exigido aos assinantes do Patreon para acessar um determinado anexo. Essa ação é acessível a contas de usuário com o privilégio `manage options`, o que significa que apenas administradores podem acessá-la. O risco decorre de um parâmetro não ser sanitizado antes de ser exibido ao usuário. Recomendações: Para versões anteriores à 1.7.2, atualize para a versão 1.7.2 ou posterior para resolver a vulnerabilidade. Como solução temporária, considere restringir o acesso à ação AJAX `patreon save attachment patreon level` para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas: Versões do plugin Patreon para WordPress anteriores à 1.7.0 Descrição: Uma vulnerabilidade do tipo Cross-Site Request Forgery (CSRF) permite que invasores façam com que um usuário conectado sobrescreva ou crie metadados de usuário arbitrários na conta da vítima. Isso pode ser usado para sobrescrever o metadado `wp capabilities`, que contém as funções e privilégios da conta do usuário afetado, potencialmente impedindo seu acesso ao site e bloqueando o acesso a conteúdo pago. Recomendações: Para versões anteriores à 1.7.0, atualize para a versão 1.7.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso a metadados confidenciais do usuário para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas: Versões do plugin Patreon para WordPress anteriores à 1.7.0 Descrição: Foi identificada uma vulnerabilidade de falsificação de solicitação entre sites (CSRF), permitindo que invasores façam com que um administrador conectado desconecte o site do Patreon ao acessar um link especialmente criado. Recomendações: Para versões anteriores à 1.7.0, atualize para a versão 1.7.0 ou posterior para resolver o problema.