Legion Hunter

**Nome do Software Vulnerável e Versões Afetadas** Fense Proxy & VPN Blocker versões anteriores a 3.0.2 **Description** A modificação não autorizada de dados é possível devido à ausência de verificação de capacidade e validação de nonce na função `fense bpvt save settings()`. O callback está registrado nos hooks `wp ajax *` e `wp ajax nopriv *` e chama incondicionalmente `delete option()` em quatro opções do plugin e `delete transient()` em três transitórios vinculados ao cache de chave de API e configurações do plugin. Isso permite que invasores não autenticados excluam opções e transitórios do plugin, redefinindo o cache de dados e a chave de API, forçando o plugin a buscar o estado novamente. **Recommendations** Atualize para uma versão posterior à 3.0.1. Como medida de mitigação temporária, restrinja o acesso à função `fense bpvt save settings()`.

**Nome do Software Vulnerável e Versões Afetadas** ThriveDesk – Live Chat, AI Chatbot, Helpdesk & Knowledge Base versões anteriores a 2.1.8 **Description** Usuários autenticados com nível de acesso Assinante (Subscriber) ou superior podem realizar a exclusão não autorizada do cache. Isso é causado por uma verificação de capacidade ausente na ação AJAX `thrivedesk clear cache`. **Recommendations** Atualize o ThriveDesk – Live Chat, AI Chatbot, Helpdesk & Knowledge Base para a versão 2.1.8 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** GoodMeet – Google Meet Integration for Webinar, Meeting & Video Conference versões anteriores a 1.1.9 **Descrição** Ocorre Cross-Site Request Forgery (CSRF) devido à falta de verificação de nonce na função `reset credential()`, que processa a ação AJAX `wp ajax goodmeet reset google meet credential`. Embora a função verifique a capacidade `manage options`, a ausência de um nonce permite que atacantes não autenticados enganem um administrador do site para clicar em um link malicioso. Esta ação redefine e exclui as credenciais da API do Google Meet `goodmeet google credentials` e os tokens OAuth `goodmeet google token` armazenados, resultando na desativação da integração do Google Meet no site. **Recomendações** Atualize para uma versão posterior a 1.1.8.

**Nome do Software Vulnerável e Versões Afetadas** GW AI Website Builder versões anteriores a 1.0.2 **Descrição** O plugin é suscetível à modificação não autorizada de dados porque a função `gwaiwebu gravitywrite disconnect handler()` carece de uma verificação de capacidade adequada. Usuários autenticados com permissões de nível Assinante (Subscriber) ou superior podem explorar isso usando a ação AJAX 'gwaiwebu gravitywrite disconnect' para desconectar o plugin do GravityWrite. **Recomendações** Atualize o plugin para a versão 1.0.2 ou posterior. Como medida de mitigação temporária, restrinja o acesso à função `gwaiwebu gravitywrite disconnect handler()`.

**Nome do Software Vulnerável e Versões Afetadas** Age Verification & Identity Verification by Token of Trust versões anteriores a 4.0.3 **Descrição** O plugin está sujeito a acesso não autorizado porque a função `handle export table()` é registrada no hook 'init' do WordPress sem uma verificação de capacidade. Este hook é executado para todas as requisições, incluindo aquelas de usuários não autenticados. Um invasor pode baixar um arquivo CSV contendo dados sensíveis de doações do WooCommerce — como datas de pedido, IDs de pedido, valores de doações beneficentes e URLs de edição de pedidos exclusivas para administradores — ao acessar qualquer página com o parâmetro GET `tot export table` definido como um valor numérico entre 0 e 3. **Recomendações** Atualize o plugin para uma versão posterior a 4.0.2. Como medida de mitigação temporária, restrinja o acesso ao parâmetro `tot export table` para evitar a exportação não autorizada de dados.

Missing Authorization vulnerability in Webba Plugins Webba Booking allows Exploiting Incorrectly Configured Access Control Security Levels. This issue affects Webba Booking: from n/a through 6.4.13.

Missing Authorization vulnerability in WebToffee Product Import Export for WooCommerce allows Exploiting Incorrectly Configured Access Control Security Levels. This issue affects Product Import Export for WooCommerce: from n/a through 2.5.6.

**Nome do Software Vulnerável e Versões Afetadas** RepairBuddy versões anteriores a 4.1121 **Description** Uma falha de autorização ausente no Webful Creations RepairBuddy permite a exploração de níveis de segurança de controle de acesso configurados incorretamente. **Recommendations** Atualize para uma versão posterior a 4.1121.

**Nome do Software Vulnerável e Versões Afetadas** WP Search Analytics versões anteriores a 1.5.0 **Description** Uma falha de autorização ausente no plugin permite a exploração de níveis de segurança de controle de acesso configurados incorretamente, resultando em controle de acesso quebrado. **Recommendations** Atualize para a versão 1.5.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** QR Redirector versões anteriores a 2.0.3 **Descrição** A falta de autorização permite a exploração de níveis de segurança de controle de acesso configurados incorretamente. **Recomendações** Atualize o QR Redirector para uma versão posterior a 2.0.3.

**Nome do Software Vulnerável e Versões Afetadas** Autoship Cloud for WooCommerce Subscription Products versões anteriores a 2.14.1 **Description** Uma falha de autorização ausente existe no plugin Autoship Cloud for WooCommerce Subscription Products, o que permite a exploração de níveis de segurança de controle de acesso configurados incorretamente. Este é um problema de controle de acesso quebrado onde o sistema falha ao verificar adequadamente a identidade ou as permissões de um usuário antes de conceder acesso a recursos restritos. **Recommendations** Atualize para uma versão posterior a 2.14.0.

**Nome do Software Vulnerável e Versões Afetadas** Feeds for YouTube versões anteriores a 2.6.4 **Descrição** Uma verificação de capacidade ausente na função `actions()` permite que usuários com privilégios de assinante ou superiores modifiquem ou excluam a chave de licença do plugin de forma não autorizada. **Recomendações** Atualize para a versão 2.6.4 ou posterior. Como medida paliativa temporária, restrinja o acesso à função `actions()` apenas a usuários administrativos autorizados.

**Nome do Software Vulnerável e Versões Afetadas** Barcode Scanner with Inventory & Order Manager versões anteriores a 1.11.0 **Descrição** Uma falha de Cross-Site Request Forgery (CSRF) existe no Barcode Scanner with Inventory & Order Manager. Este problema permite que um invasor induza um usuário a realizar ações que ele não pretendia fazer, enganando-o para clicar em um link malicioso ou visitar uma página comprometida. **Recomendações** Atualize para uma versão posterior a 1.11.0.

Name of the Vulnerable Software and Affected Versions Eniture technology LTL Freight Quotes – Worldwide Express Edition versões até 5.2.1 Description Existe uma falha de autorização em Eniture technology LTL Freight Quotes – Worldwide Express Edition devido a níveis de segurança de controle de acesso configurados incorretamente. Recommendations Atualize para uma versão posterior a 5.2.1

**Name of the Vulnerable Software and Affected Versions** Funlus Oy WPLifeCycle versions through 3.3.1 **Description** An authorization issue exists in Funlus Oy WPLifeCycle free-php-version-info, allowing exploitation due to incorrectly configured access control security levels. **Recommendations** Versions prior to 3.3.1 should be updated.

**Name of the Vulnerable Software and Affected Versions** Chocolate House versions through 1.1.5 **Description** A missing authorization issue exists in Chocolate House, allowing exploitation of incorrectly configured access control security levels. **Recommendations** Update Chocolate House to a version later than 1.1.5.

**Name of the Vulnerable Software and Affected Versions** Aryan Shirani Bid Abadi Site Suggest versions through 1.3.9 **Description** The software contains a missing authorization flaw in the `site-suggest` functionality. This allows access to functionality that is not properly restricted by Access Control Lists (ACLs). **Recommendations** Update to a version later than 1.3.9.

**Name of the Vulnerable Software and Affected Versions** Print Invoice & Delivery Notes for WooCommerce versions through 5.8.0 **Description** The software contains a flaw related to incorrectly configured access control security levels, potentially allowing unauthorized access. The issue is a missing authorization check. **Recommendations** Update Print Invoice & Delivery Notes for WooCommerce to a version newer than 5.8.0.

**Name of the Vulnerable Software and Affected Versions** PDF for Elementor Forms + Drag And Drop Template Builder versions through 6.3.1 **Description** A missing authorization issue exists in PDF for Elementor Forms + Drag And Drop Template Builder. The issue involves exploiting incorrectly configured access control security levels within the add-on. **Recommendations** Update PDF for Elementor Forms + Drag And Drop Template Builder to a version newer than 6.3.1.

**Name of the Vulnerable Software and Affected Versions** CryoutCreations Serious Slider versions through 1.2.7 **Description** A missing authorization issue exists in CryoutCreations Serious Slider, allowing exploitation of incorrectly configured access control security levels. **Recommendations** Update CryoutCreations Serious Slider to a version later than 1.2.7.