She11F

🚨 CVE-2026-15052 The MailChimp Subscribe Form, Optin Builder, PopUp Builder, Form Builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Form Field Values in all versions up to, and including, 4.3.3 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. 🎖@cveNotify

**Nome do Software Vulnerável e Versões Afetadas** WOLF WordPress plugin versões anteriores a 1.1.0 **Description** O plugin não realiza a verificação de nonce (um token único usado para prevenir ataques de repetição) ou de capacidade em uma ação AJAX. Isso permite que um invasor não autenticado execute uma requisição cross-site que engana um administrador conectado para escrever conteúdo arbitrário, como scripts maliciosos, em uma postagem, resultando em Cross-Site Scripting (XSS) armazenado. **Recommendations** Atualize o WOLF WordPress plugin para a versão 1.1.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Kali Forms — Contact Form & Drag-and-Drop Builder WordPress plugin versões anteriores a 2.4.13 **Description** Ocorre Cross-Site Scripting (XSS) Armazenado porque o plugin não sanitiza a legenda de um campo de formulário antes de exibi-la como um cabeçalho de coluna na tela de entradas de formulário do administrador. Isso permite que usuários com nível de acesso Colaborador ou superior armazenem JavaScript que é executado na sessão de um administrador. Além disso, a ausência de uma verificação de capacidade na ação de duplicação de postagens permite que um Colaborador publique o formulário malicioso para que um administrador o renderize. **Recommendations** Atualize o Kali Forms — Contact Form & Drag-and-Drop Builder WordPress plugin para a versão 2.4.13 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Business Directory versões anteriores a 6.4.23 **Descrição** Ocorre Cross Site Scripting (XSS) na função de Assinante (Subscriber), permitindo que um invasor execute scripts maliciosos no navegador de outros usuários. **Recomendações** Atualize para uma versão posterior à 6.4.22.

**Nome do Software Vulnerável e Versões Afetadas** Visual Link Preview versões 2.3.1 e anteriores **Descrição** Ocorre a exposição de dados sensíveis de assinantes no software, permitindo potencialmente o acesso não autorizado a informações privadas. **Recomendações** Desative ou isole o software imediatamente. No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** WooCommerce PDF Invoice Builder versões anteriores a 2.0.9 **Descrição** O Controle Impróprio de Geração de Código permite a Inclusão Remota de Código, possibilitando que um invasor não autenticado realize a injeção completa de código via inclusão de arquivo remoto. **Recomendações** Atualize para uma versão posterior a 2.0.8.

**Nome do Software Vulnerável e Versões Afetadas** WP Ticket versões anteriores a 6.0.5 **Description** O plugin WP Ticket para WordPress permite que atacantes não autenticados extraiam informações sensíveis do banco de dados. O problema ocorre durante pesquisas front-end não autenticadas, quando o plugin utiliza o filtro `posts request` através da função `wp ticket com posts request()`, que subsequentemente chama a função `emd author search results()`. Esta função processa o parâmetro de consulta `s` de `$query->query vars['s']` sem utilizar `$wpdb->prepare()` ou a sanitização adequada, concatenando o valor bruto em uma cláusula SQL `LIKE` dentro de um sub-SELECT UNION. Essa ausência de sanitização permite a injeção de consultas SQL adicionais em requisições de banco de dados já existentes. **Recommendations** Atualize para uma versão posterior a 6.0.4.

Missing Authorization vulnerability in Strategy11 Team AWP Classifieds another-wordpress-classifieds-plugin allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects AWP Classifieds: from n/a through <= 4.4.5.

**Nome do Software Vulnerável e Versões Afetadas** ZAYTECH Smart Online Order for Clover versões anteriores ou iguais a 1.6.0 **Descrição** Um problema envolvendo a inserção de informações sensíveis em dados enviados permite a recuperação de dados sensíveis incorporados. **Recomendações** Atualize o ZAYTECH Smart Online Order for Clover para uma versão posterior a 1.6.0.

**Nome do Software Vulnerável e Versões Afetadas** ZAYTECH Smart Online Order for Clover versões anteriores a 1.6.0 **Descrição** Existe uma falha de bypass de autenticação no ZAYTECH Smart Online Order for Clover, permitindo que um invasor ignore os mecanismos de autenticação utilizando um caminho ou canal alternativo. **Recomendações** Atualize para uma versão posterior a 1.6.0.

**Nome do Software Vulnerável e Versões Afetadas** ZAYTECH Smart Online Order for Clover versões anteriores a 1.6.1 **Descrição** A neutralização inadequada de entradas durante a geração de páginas web permite o Cross-site Scripting (XSS) Armazenado, uma condição em que scripts maliciosos são armazenados permanentemente no servidor alvo e posteriormente servidos a outros usuários. **Recomendações** Atualize para uma versão posterior a 1.6.0.

**Nome do Software Vulnerável e Versões Afetadas** Geo Mashup versões anteriores a 1.13.20 **Description** O Geo Mashup está sujeito a Cross-site Scripting (XSS) Refletido, que ocorre quando uma aplicação inclui dados não confiáveis em uma página web sem a devida validação ou codificação, permitindo que um invasor execute scripts maliciosos no navegador da vítima. **Recommendations** Atualize para uma versão posterior a 1.13.19.