Nguyen Ba Khanh

**Nome do Software Vulnerável e Versões Afetadas** Blocksy Companion Pro plugin for WordPress versões anteriores a 2.1.47 **Description** Um problema de upload arbitrário de arquivos não autenticado existe no recurso Advanced Reviews. A função `save attachments()` não valida adequadamente as extensões de arquivo, especificamente devido a uma verificação de substring `strpos()` falha na extensão Custom Fonts. Um invasor pode ignorar essa validação usando nomes de arquivos com extensões duplas, como `shell.woff2.php`, permitindo o upload de arquivos executáveis que o servidor web processa como PHP, resultando em execução remota de código. **Recommendations** Atualize o Blocksy Companion Pro plugin for WordPress para a versão 2.1.47 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Survey Maker versões anteriores a 5.2.2.6 **Descrição** Existe um problema de Cross Site Scripting (XSS) não autenticado, que permite a um invasor executar scripts maliciosos no navegador de um usuário sem a necessidade de autenticação prévia. **Recomendações** Atualize para uma versão posterior à 5.2.2.5.

Unauthenticated Cross Site Scripting (XSS) in WowAddons <= 1.6.14 versions.

Unauthenticated Cross Site Scripting (XSS) in WP Photo Album Plus <= 9.2.02.004 versions.

Unauthenticated Cross Site Scripting (XSS) in Modula - PRO <= 2.10.8 versions.

**Nome do Software Vulnerável e Versões Afetadas** Admin and Site Enhancements (ASE) Pro versões anteriores a 8.8.6 **Descrição** Existe um problema de Cross Site Scripting (XSS) não autenticado, que permite a um invasor executar scripts maliciosos no navegador de um usuário sem a necessidade de autenticação prévia. **Recomendações** Atualize o Admin and Site Enhancements (ASE) Pro para a versão 8.8.6 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Sendcloud Shipping versões anteriores a 1.0.30 **Descrição** A ausência de autorização permite a exploração de níveis de segurança de controle de acesso configurados incorretamente. **Recomendações** Atualize o Sendcloud Shipping para a versão 1.0.30 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Blocksy Companion Pro versões anteriores a 2.1.47 **Descrição** Uma falha de execução remota de código não autenticada permite que um invasor execute código arbitrário no site sem a necessidade de credenciais de login. **Recomendações** Atualize para uma versão posterior à 2.1.46.

**Nome do Software Vulnerável e Versões Afetadas** Kit (formerly ConvertKit) for WooCommerce versões anteriores a 2.1.6 **Descrição** Um problema de exposição de dados sensíveis não autenticados existe no plugin, permitindo que usuários não autorizados acessem informações confidenciais sem fornecer credenciais. **Recomendações** Atualize o plugin para uma versão posterior a 2.1.5.

**Nome do Software Vulnerável e Versões Afetadas** wpDataTables versões 6.5.1.1 e anteriores **Descrição** Um problema de Cross Site Scripting (XSS) não autenticado existe, permitindo que um invasor execute scripts maliciosos no navegador de um usuário sem a necessidade de autenticação prévia. **Recomendações** Atualize o wpDataTables para uma versão posterior à 6.5.1.1.

**Nome do Software Vulnerável e Versões Afetadas** WooCommerce Designer Pro versões anteriores a 1.9.35 **Descrição** O Cross Site Scripting (XSS) permite que um invasor com privilégios de assinante execute scripts maliciosos no navegador de outros usuários. **Recomendações** Atualize o WooCommerce Designer Pro para a versão 1.9.35 ou posterior.

Unauthenticated Cross Site Scripting (XSS) in weMail <= 2.1.2 versions.

**Nome do Software Vulnerável e Versões Afetadas** Automatic versões anteriores a 3.135.1 **Descrição** Existe um problema de Cross Site Scripting (XSS) não autenticado, que permite a um invasor executar scripts maliciosos no navegador de um usuário sem a necessidade de autenticação prévia. **Recomendações** Atualize para a versão 3.135.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** JetSmartFilters versões anteriores a 3.8.4 **Descrição** Existe uma Injeção de SQL não autenticada no software. SQL Injection é um tipo de vulnerabilidade que permite a um invasor interferir nas consultas que um aplicativo faz ao seu banco de dados, potencialmente permitindo que ele visualize dados que normalmente não conseguiria recuperar. **Recomendações** Atualize o JetSmartFilters para a versão 3.8.4 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Exclusive Addons Elementor versões anteriores a 2.7.9.9 **Descrição** A neutralização inadequada de entrada durante a geração de páginas web permite o Cross-site Scripting (XSS) Armazenado, uma falha onde scripts maliciosos são armazenados permanentemente no servidor alvo e posteriormente executados no navegador de um usuário inadvertido. **Recomendações** Atualize o Exclusive Addons Elementor para a versão 2.7.9.9 ou posterior.

Unauthenticated Cross Site Scripting (XSS) in FOX <= 1.4.8 versions.

**Nome do Software Vulnerável e Versões Afetadas** YMC Filter versões anteriores a 3.11.5 **Description** A neutralização inadequada de elementos especiais usados em um comando SQL permite a ocorrência de SQL Injection. Isso acontece quando a aplicação falha ao sanitizar adequadamente os dados fornecidos pelo usuário antes de incorporá-los em uma consulta ao banco de dados, potencialmente permitindo que um invasor manipule a lógica da consulta. **Recommendations** Atualize o YMC Filter para uma versão posterior a 3.11.5.

**Nome do Software Vulnerável e Versões Afetadas** WorkScout-Core versões anteriores a 1.7.12 **Descrição** Um problema permite que usuários não autenticados realizem a exclusão arbitrária de arquivos. Isso significa que um invasor pode excluir arquivos no servidor sem a necessidade de fornecer credenciais de login válidas. **Recomendações** Atualize para uma versão posterior a 1.7.11.

Unauthenticated SQL Injection in JobSearch <= 3.2.9 versions.

**Nome do Software Vulnerável e Versões Afetadas** Advanced Ads versões anteriores a 2.0.22 **Descrição** O Controle Impróprio de Geração de Código (Code Injection) permite a Inclusão Remota de Código, que ocorre quando uma aplicação permite que um invasor inclua e execute código remoto no servidor. **Recomendações** Atualize para a versão 2.0.22 ou posterior.