John Umoru

**Nome do Software Vulnerável e Versões Afetadas** Really Simple Security WordPress plugin versões anteriores a 9.5.10.1 **Description** O plugin não impõe o desafio de segundo fator em dois de seus endpoints REST de autenticação de dois fatores. Isso permite que um invasor que possua a senha de um usuário obtenha uma sessão de autenticação do WordPress sem completar o desafio de OTP (One-Time Password) por e-mail. **Recommendations** Atualize o plugin para a versão 9.5.10.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** weMail: Email Marketing, Email Automation, Newsletters, Subscribers & Email Optins for WooCommerce WordPress plugin versões anteriores a 2.1.3 **Description** O plugin não escapa adequadamente um parâmetro fornecido pelo usuário antes de refleti-lo em um atributo HTML em uma resposta AJAX sem proteção de nonce. Isso permite que atacantes não autenticados realizem Reflected Cross-Site Scripting (XSS), que ocorre quando uma aplicação inclui dados não confiáveis em uma página web sem a validação adequada, permitindo a execução de scripts maliciosos no navegador da vítima. Isso pode ser executado contra qualquer usuário autenticado, incluindo administradores, por meio de uma URL manipulada. **Recommendations** Atualize para a versão 2.1.3 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Custom css-js-php versões anteriores a 2.0.8 **Descrição** O plugin não sanitiza adequadamente a entrada do usuário antes de incorporá-la em uma consulta SQL. O resultado é então passado para a função `eval()`, o que permite que usuários não autenticados executem código PHP arbitrário no servidor. Este processo envolve uma injeção de SQL (SQLi) que leva à Execução Remota de Código (RCE), onde um invasor pode executar comandos no sistema operacional host a partir de uma máquina remota. **Recomendações** Atualize para uma versão posterior à 2.0.7.