Miguel Neto

**Name of the Vulnerable Software and Affected Versions** Jetpack WordPress plugin versions prior to 12.1.1 **Description** The issue allows users with author roles or above to manipulate existing files on the site, including deleting arbitrary files. In rare cases, it can also lead to Remote Code Execution via phar deserialization due to the lack of validation for uploaded files. **Recommendations** For versions prior to 12.1.1, update to version 12.1.1 or later to resolve the issue. As a temporary workaround, consider restricting file upload capabilities to higher roles until the update can be applied.

**Nome do software vulnerável e versões afetadas: Versões do plugin Patreon para WordPress anteriores à 1.7.0 Descrição: Foi identificada uma vulnerabilidade de divulgação de arquivos locais no plugin Patreon para WordPress que poderia ser explorada por qualquer pessoa que visitasse o site, levando potencialmente ao vazamento de arquivos internos importantes, como o wp-config.php, que contém credenciais de banco de dados e chaves criptográficas usadas para a geração de nonces e cookies. Recomendações: Para versões anteriores à 1.7.0, atualize para a versão 1.7.0 ou posterior para resolver o problema.

**Nome do software vulnerável e versões afetadas: Versões do plugin Patreon para WordPress anteriores à 1.7.2 Descrição: Foi identificada uma vulnerabilidade de Cross-Site Scripting refletido no formulário de login do plugin Patreon para WordPress. O plugin se integra ao formulário de login do WordPress, permitindo que os usuários se autentiquem usando sua conta do Patreon. No entanto, a lógica de registro de erros permitia que entradas controladas pelo usuário fossem refletidas na página de login sem a devida sanitização. Recomendações: Para versões anteriores à 1.7.2, atualize para a versão 1.7.2 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso ao formulário de login até que a atualização seja aplicada.

**Nome do software vulnerável e versões afetadas: Versões do plugin Patreon para WordPress anteriores à 1.7.2 Descrição: Foi identificada uma vulnerabilidade de Cross-Site Scripting refletido no plugin Patreon para WordPress. A vulnerabilidade está relacionada à ação AJAX `patreon save attachment patreon level`, usada para atualizar o nível de contribuição exigido aos assinantes do Patreon para acessar um determinado anexo. Essa ação é acessível a contas de usuário com o privilégio `manage options`, o que significa que apenas administradores podem acessá-la. O risco decorre de um parâmetro não ser sanitizado antes de ser exibido ao usuário. Recomendações: Para versões anteriores à 1.7.2, atualize para a versão 1.7.2 ou posterior para resolver a vulnerabilidade. Como solução temporária, considere restringir o acesso à ação AJAX `patreon save attachment patreon level` para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas: Versões do plugin Patreon para WordPress anteriores à 1.7.0 Descrição: Uma vulnerabilidade do tipo Cross-Site Request Forgery (CSRF) permite que invasores façam com que um usuário conectado sobrescreva ou crie metadados de usuário arbitrários na conta da vítima. Isso pode ser usado para sobrescrever o metadado `wp capabilities`, que contém as funções e privilégios da conta do usuário afetado, potencialmente impedindo seu acesso ao site e bloqueando o acesso a conteúdo pago. Recomendações: Para versões anteriores à 1.7.0, atualize para a versão 1.7.0 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso a metadados confidenciais do usuário para minimizar o risco de exploração.

**Nome do software vulnerável e versões afetadas: Versões do plugin Patreon para WordPress anteriores à 1.7.0 Descrição: Foi identificada uma vulnerabilidade de falsificação de solicitação entre sites (CSRF), permitindo que invasores façam com que um administrador conectado desconecte o site do Patreon ao acessar um link especialmente criado. Recomendações: Para versões anteriores à 1.7.0, atualize para a versão 1.7.0 ou posterior para resolver o problema.