Matthew Rollings

**Nome do Software Vulnerável e Versões Afetadas** Unlimited Elements For Elementor WordPress plugin versões anteriores a 2.0.11 **Descrição** A sanitização e a codificação insuficientes do conteúdo de avaliações do Google obtido via Serp API permitem que invasores não autenticados realizem Stored Cross-Site Scripting (XSS). Um invasor pode enviar uma avaliação maliciosa para a listagem do Google de uma empresa, que é então executada no navegador de qualquer visitante, incluindo administradores, ao visualizar uma página do WordPress que exibe as avaliações daquele Place ID específico através do widget Google Reviews. **Recomendações** Atualize o plugin para a versão 2.0.11 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Breeze Cache WordPress plugin versões anteriores a 2.5.6 **Description** Um problema de Stored Cross-Site Scripting (XSS) não autenticado existe devido a um hash de substituição previsível usado durante o processo de minificação de HTML e ao abuso de uma expressão regular. Isso permite que um invasor injete atributos HTML arbitrários na saída HTML final ao antecipar o formato do marcador. **Recommendations** Atualize o Breeze Cache WordPress plugin para a versão 2.5.6 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Email Address Encoder versões anteriores a 1.0.25 email-encoder-premium versões anteriores a 0.3.12 **Descrição** O manuseio inadequado da substituição de e-mail permite que usuários não autenticados realizem ataques de Cross-Site Scripting (XSS) Armazenado. Este problema ocorre devido ao tratamento inseguro da saída de substituição de e-mail e à validação de entrada ou codificação de saída inadequada, permitindo que conteúdo controlado pelo invasor seja persistido e renderizado como um script. Um invasor pode injetar remotamente payloads manipulados durante o processo de substituição de e-mail que são posteriormente servidos a visitantes ou administradores. Isso pode levar à execução de JavaScript arbitrário no navegador da vítima, resultando potencialmente no sequestro de sessão administrativa, redirecionamentos maliciosos e a tomada de controle do site. **Recomendações** Atualize o Email Address Encoder para a versão 1.0.25. Atualize o email-encoder-premium para a versão 0.3.12.

**Nome do Software Vulnerável e Versões Afetadas** Anti-Spam by CleanTalk. Spam protection WordPress plugin versões anteriores a 6.79 **Description** A sanitização insuficiente de conteúdo dentro de um shortcode personalizado usado no recurso de codificação de e-mail permite que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS). Isso possibilita a injeção de scripts web arbitrários em comentários aprovados, que são executados quando qualquer usuário, incluindo administradores, visualiza a postagem. **Recommendations** Atualize para a versão 6.79 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** FV Flowplayer Video Player versões anteriores a 7.5.49.7213 **Description** O plugin FV Flowplayer Video Player para WordPress contém um problema de Cross-Site Scripting (XSS) Armazenado causado por sanitização de entrada e escape de saída insuficientes no texto dos comentários. Isso permite que atacantes não autenticados injetem scripts web arbitrários em páginas, que são executados quando um usuário visita a página afetada. A exploração bem-sucedida depende de o administrador ter habilitado a configuração `parse comments` (Parse Vimeo and YouTube links), que não é o padrão, e requer que um comentário enviado seja aprovado por um administrador antes que o payload seja entregue. **Recommendations** Atualize o plugin para uma versão posterior a 7.5.49.7212. Como mitigação temporária, desabilite a configuração `parse comments` (Parse Vimeo and YouTube links) do plugin.

**Nome do Software Vulnerável e Versões Afetadas** Xpro Elementor Addons - Pro versões anteriores a 1.4.8 **Description** O plugin está sujeito à leitura arbitrária de arquivos através do widget Draw SVG. Isso permite que atacantes autenticados com nível de acesso de Colaborador ou superior leiam arquivos arbitrários no servidor, potencialmente expondo informações sensíveis. **Recommendations** Atualize o plugin para uma versão posterior a 1.4.7. Como mitigação temporária, restrinja o acesso ao widget Draw SVG para usuários com permissões de Colaborador.

**Nome do Software Vulnerável e Versões Afetadas** Email Encoder versões anteriores a 2.4.7 **Description** O plugin Email Encoder para WordPress não escapa endereços de e-mail recuperados via entrada de usuário. Isso permite que atacantes não autenticados realizem Cross-Site Scripting (XSS) Armazenado, uma técnica onde scripts maliciosos são armazenados permanentemente no servidor alvo e executados no navegador de usuários que visualizam a página afetada. **Recommendations** Atualize para a versão 2.4.7 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Autoptimize versões anteriores a 3.1.15 Clearfy Cache versões anteriores a 2.4.2 Speed Optimizer versões anteriores a 7.7.9 **Description** Cross-Site Scripting (XSS) Armazenado não autenticado é possível devido a um hash de substituição previsível usado durante o processo de minificação de HTML e ao abuso de uma expressão regular. Isso permite que um invasor antecipe o formato do marcador e injete atributos HTML arbitrários na saída HTML final. **Recommendations** Atualize o Autoptimize para a versão 3.1.15 ou posterior. Atualize o Clearfy Cache para a versão 2.4.2 ou posterior. Atualize o Speed Optimizer para a versão 7.7.9 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Widget Options – Advanced Conditional Visibility for Gutenberg Blocks & Classic Widgets versões anteriores a 4.2.3 **Descrição** A Execução Remota de Código é possível através do recurso Display Logic. O problema ocorre porque o plugin utiliza a função `eval()` em expressões de Display Logic fornecidas pelo usuário com uma blocklist/allowlist insuficiente que pode ser burlada usando `array map` com concatenação de strings. Além disso, há uma falta de imposição de autorização no atributo `extended widget opts block`. Isso permite que atacantes autenticados, com nível de acesso de Colaborador (Contributor) ou superior, executem código arbitrário no servidor. **Recomendações** Atualize para uma versão posterior a 4.2.2.

**Nome do Software Vulnerável e Versões Afetadas** Check & Log Email WordPress plugin versões anteriores a 2.0.13 **Descrição** O manuseio inadequado da substituição de e-mail permite que usuários não autenticados realizem ataques de Cross-Site Scripting (XSS) Armazenado quando a configuração do codificador de e-mail está ativada. O XSS Armazenado ocorre quando um script malicioso é armazenado permanentemente no servidor alvo, sendo posteriormente servido a outros usuários. **Recomendações** Atualize o plugin para a versão 2.0.13 ou posterior.

**Name of the Vulnerable Software and Affected Versions** Autoptimize versions up to and including 3.1.14 **Description** The Autoptimize plugin for WordPress is susceptible to Stored Cross-Site Scripting through the lazy-loading image processing. This is caused by an overly permissive regular expression in the `add lazyload` function. The regular expression replaces all instances of `ssrc=` in image tags without restriction to the actual attribute. This allows authenticated attackers with Contributor-level access or higher to inject arbitrary web scripts into pages. Attackers can achieve this by creating an image tag where the `src` URL contains a space followed by `src=`, which breaks the HTML structure and promotes text inside attribute values into executable HTML attributes. **Recommendations** Update Autoptimize to a version later than 3.1.14.

**Name of the Vulnerable Software and Affected Versions** Responsive Lightbox & Gallery WordPress plugin versions prior to 2.6.1 **Description** The software contains a flaw in its regex replacement rules that allows for an Unauthenticated Stored-XSS attack. This occurs when a malicious link is posted as a comment, and then approved with lightbox for comments enabled. The issue allows an attacker to inject malicious code that will be executed when other users view the comment. **Recommendations** Update to version 2.6.1 or later.

**Name of the Vulnerable Software and Affected Versions** CubeWP – All-in-One Dynamic Content Framework versions prior to 1.1.27 **Description** The CubeWP plugin for WordPress has an information exposure issue. Insufficient restrictions on the search feature in the `class-cubewp-search-ajax-hooks.php` file allows unauthenticated attackers to access data from password-protected, private, or draft posts that they should not be able to view. The vulnerable search feature allows extraction of sensitive information. **Recommendations** Update CubeWP – All-in-One Dynamic Content Framework to a version later than 1.1.27.

**Nome do Software Vulnerável e Versões Afetadas** Brizy – Plugin Page Builder para WordPress versões anteriores a 2.7.17 **Descrição** O plugin Brizy – Page Builder para WordPress está suscetível à divulgação de informações sensíveis. Atacantes autenticados com acesso de nível de Contribuidor ou superior podem extrair dados sensíveis, incluindo endereços de e-mail e senhas com hash de administradores, através da função `get users()`. **Recomendações** Atualize para a versão 2.7.17 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Versões do a3 Lazy Load anteriores à 2.7.6 **Descrição** O plugin a3 Lazy Load para WordPress é vulnerável a Cross-Site Scripting Armazenado devido à sanitização inadequada de entrada e ao escape de saída de atributos fornecidos pelo usuário. Isso permite que atacantes autenticados com acesso de nível de colaborador ou superior injetem scripts web arbitrários nas páginas. Esses scripts serão executados quando um usuário acessar a página afetada. **Recomendações** Atualize o a3 Lazy Load para a versão 2.7.6 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Royal Elementor Addons and Templates versões anteriores à 1.7.1037 **Descrição** O plugin Royal Elementor Addons and Templates para WordPress está suscetível a Cross-Site Scripting Armazenado. O problema ocorre devido à sanitização de entrada e escape de saída insuficientes relacionados à variável `item['field id']`. Isso permite que atacantes autenticados com acesso de nível de Contribuidor ou superior injetem scripts web arbitrários nas páginas. Esses scripts serão executados quando um usuário acessar a página afetada. **Recomendações** Atualize o Royal Elementor Addons and Templates para a versão 1.7.1037 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Plugin Include Fussball.de Widgets para WordPress, versões até e incluindo a 4.0.0 **Descrição** O software contém uma vulnerabilidade de Stored Cross-Site Scripting devido à sanitização de entrada e escape de saída insuficientes. Atacantes autenticados com acesso de nível de Contribuidor ou superior podem injetar scripts web arbitrários nas páginas. Esses scripts serão executados quando um usuário acessar a página injetada. A vulnerabilidade está presente nos parâmetros 'api' e 'type'. **Recomendações** Atualize o plugin Include Fussball.de Widgets para uma versão posterior à 4.0.0.

**Nome do Software Vulnerável e Versões Afetadas** versões do kallyas anteriores à 4.23.1 **Descrição** O tema kallyas para WordPress é vulnerável a Cross-Site Scripting Armazenado através de múltiplos shortcodes. A sanitização de entrada e o escape de saída insuficientes em atributos fornecidos pelo usuário permitem que atacantes autenticados com acesso de nível de contribuidor ou superior injetem scripts web arbitrários nas páginas. Esses scripts serão executados quando um usuário acessar a página afetada. **Recomendações** Atualize o kallyas para a versão 4.23.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** WP Delicious – Recipe Plugin for Food Bloggers (anteriormente Delicious Recipes) versões anteriores à 1.9.1 **Descrição** O plugin WP Delicious – Recipe Plugin for Food Bloggers (anteriormente Delicious Recipes) para WordPress permite que um atacante com permissões de nível de Contribuidor faça upload de arquivos maliciosos. Isso ocorre ao importar receitas via CSV, especificamente ao fornecer uma URL remota durante o processo de importação. A exploração bem-sucedida pode levar à Execução Remota de Código (RCE). A vulnerabilidade envolve upload arbitrário de arquivos, permitindo que o atacante faça upload de um arquivo PHP. O componente vulnerável é a funcionalidade de importação de CSV. **Recomendações** Versões anteriores à 1.9.1 devem ser atualizadas.

**Nome do Software Vulnerável e Versões Afetadas** versões do kallyas anteriores à 4.24.0 **Descrição** O tema kallyas para WordPress é vulnerável a Execução Remota de Código através do widget do pagebuilder `TH PhpCode`. O problema ocorre porque o tema não restringe o acesso ao widget do editor de código para usuários que não são administradores. Isso permite que atacantes autenticados com acesso de nível de Contribuidor ou superior executem código no servidor. O widget `TH PhpCode` é o componente específico envolvido neste problema. **Recomendações** Atualize o kallyas para a versão 4.24.0 ou posterior.