Swat

**Nome do Software Vulnerável e Versões Afetadas** Facturación Electrónica Costa Rica versões anteriores a 2.0.3 **Descrição** O plugin é suscetível a Cross-Site Request Forgery (CSRF), uma falha na qual um invasor engana a vítima para realizar ações que ela não pretendia fazer. Isso ocorre devido à validação de nonce ausente ou incorreta na função (global scope, included by `fvcr admin page html`). Atacantes não autenticados podem explorar isso para modificar configurações do plugin por meio de requisições forjadas, desde que consigam induzir um administrador do site a clicar em um link malicioso. As configurações afetadas incluem tokens de API, tokens de acesso, atividade econômica, modo de ambiente Hacienda, sinalizadores de emissão de faturas e tickets, taxa de câmbio e configurações de filial. **Recomendações** Atualize o plugin para uma versão posterior à 2.0.2.

**Nome do Software Vulnerável e Versões Afetadas** W3SC Elementor to Zoho CRM versões anteriores a 2.2.1 **Descrição** O plugin está sujeito a Cross-Site Request Forgery (CSRF), uma falha na qual um invasor engana uma vítima para realizar ações que ela não pretendia fazer. Isso ocorre devido à validação de nonce ausente ou incorreta na função `storeInfo()`. Atacantes não autenticados podem explorar isso para modificar as configurações de integração do Zoho CRM, substituindo o centro de dados, `client ID`, `client secret` e as credenciais de `user email` por valores controlados pelo invasor, desde que consigam enganar um administrador do site para clicar em um link malicioso. **Recomendações** Atualize o plugin para uma versão posterior à 2.2.0. Como medida de mitigação temporária, restrinja o acesso às configurações do plugin apenas a administradores confiáveis.

**Nome do Software Vulnerável e Versões Afetadas** Wp Js Detect versões anteriores a 1.1.0 **Descrição** O plugin é suscetível a Cross-Site Request Forgery (CSRF), uma falha na qual um invasor engana uma vítima para realizar ações que ela não pretendia fazer. Isso ocorre devido à validação de nonce ausente ou incorreta na função `plugin settings()`. Atacantes não autenticados podem explorar isso enganando um administrador do site para clicar em um link malicioso, permitindo que o invasor atualize as variáveis `wp non js notification text` e `wp non js notification css`. Isso possibilita a injeção de conteúdo arbitrário que é exibido sem escape no frontend do site. **Recomendações** Atualize o Wp Js Detect para uma versão posterior a 1.0.9.

**Nome do Software Vulnerável e Versões Afetadas** Book a Room Event Calendar versões anteriores a 2.0 **Descrição** O plugin Book a Room Event Calendar para WordPress está sujeito a Cross-Site Request Forgery (CSRF), uma falha onde um invasor engana a vítima para realizar uma ação que ela não pretendia. O problema existe na funcionalidade `settings form()` e `update settings()` devido à validação de nonce ausente ou incorreta. Um nonce é um token único usado para verificar se uma solicitação foi enviada intencionalmente pelo usuário. O manipulador da página de opções do plugin usa o parâmetro POST `action` para chamar `update settings()`, que salva detalhes de configuração — incluindo o host do banco de dados externo, nome de usuário, senha, prefixo, nome do banco de dados, chave de criptografia e URL da página de registro — via `update option()`. Como o plugin não gera nem verifica nonces, invasores não autenticados podem modificar essas configurações de conexão do banco de dados enganando um administrador do site para clicar em um link malicioso. **Recomendações** Atualize o plugin para uma versão posterior a 1.9. Como medida paliativa temporária, restrinja o acesso à página de configurações do plugin apenas a administradores essenciais até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** MotorDesk versões anteriores a 1.1.3 **Descrição** O plugin MotorDesk para WordPress contém uma falha de Cross-Site Request Forgery (CSRF), que ocorre quando uma aplicação web permite que um atacante induza um usuário a realizar ações que ele não pretende. Este problema é causado pela validação de nonce ausente ou incorreta na função `motordesk admin home()`. Atacantes não autenticados podem explorar isso enganando um administrador do site para clicar em um link, permitindo que o atacante atualize as configurações de configuração do plugin, especificamente a URI da página de pesquisa e o caminho do diretório de modelo personalizado. **Recomendações** Atualize para uma versão posterior a 1.1.2. Como medida paliativa temporária, restrinja o acesso à função `motordesk admin home()` para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** Google Plus One Bottom versões anteriores a 0.0.3 **Description** O plugin Google Plus One Bottom para WordPress é suscetível a Cross-Site Request Forgery (CSRF), uma falha onde um invasor engana a vítima para executar ações indesejadas. Isso ocorre devido à validação de nonce ausente ou incorreta na função `googlePlusOneAdmin()`. Atacantes não autenticados podem modificar as configurações do plugin armazenadas no banco de dados, especificamente as variáveis `plusone-lang`, `plusone-callback` e `plusone-url`, induzindo um administrador do site a clicar em um link malicioso. **Recommendations** Atualize o plugin para uma versão posterior a 0.0.2. Como medida paliativa temporária, restrinja o acesso à função `googlePlusOneAdmin()` para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** EmergencyWP – Dead Man's switch & legacy deliverance versões anteriores a 1.4.3 **Descrição** O plugin é suscetível a Cross-Site Request Forgery devido à validação de nonce ausente ou incorreta na função `form settings ui()`. Isso permite que atacantes não autenticados modifiquem as configurações do plugin enganando um administrador do site para clicar em um link malicioso. As configurações afetadas incluem a função de acesso mínima, a flag de exclusão de dados na desinstalação, valores de tempo de verificação de vida, o endereço de e-mail obrigatório, o ID da página de confirmação e formatos de data/hora. A validação de nonce é um mecanismo de segurança usado para garantir que uma solicitação foi enviada intencionalmente pelo usuário e não forjada por terceiros. **Recomendações** Atualize para uma versão posterior a 1.4.2. Como medida paliativa temporária, restrinja o acesso à função `form settings ui()` para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** Remove NoFollow Commenter URL versões anteriores a 1.1 **Description** O plugin está sujeito a Cross-Site Request Forgery devido à validação de nonce ausente ou incorreta na função `gmz comment settings save()`. Isso permite que atacantes não autenticados modifiquem a configuração de exibição de comentários enganando um administrador do site para clicar em um link malicioso. **Recommendations** Atualize para uma versão posterior a 1.0. Como medida paliativa temporária, restrinja o acesso às configurações do plugin para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** Laiser Tag versões anteriores a 1.2.6 **Description** O plugin Laiser Tag para WordPress está sujeito a Cross-Site Request Forgery (CSRF), uma falha onde um invasor engana a vítima para executar ações indesejadas. Isso ocorre devido à validação de nonce ausente ou incorreta na função `addOptionsPageFields()`. Atacantes não autenticados podem explorar isso enganando um administrador do site para clicar em um link malicioso, permitindo que o invasor atualize as configurações do plugin, como a chave de API, a lista negra de tags, o limite de relevância, o tamanho do lote e as alternâncias de marcação. **Recommendations** Atualize o plugin para uma versão posterior a 1.2.5. Como medida paliativa temporária, restrinja o acesso à página de configurações do plugin para minimizar o risco de exploração.