Tony

**Nome do Software Vulnerável e Versões Afetadas** Versões do plugin Jeg Kit for Elementor para WordPress anteriores à 2.7.0 **Descrição** O plugin Jeg Kit for Elementor para WordPress não sanitiza adequadamente o conteúdo de arquivos SVG quando enviados através do arquivo `xmlrpc.php`, o que pode resultar em uma vulnerabilidade de cross-site scripting. O processo de upload vulnerável ocorre durante o manuseio de arquivos SVG, potencialmente permitindo que um invasor injete código malicioso. **Recomendações** Atualize o plugin Jeg Kit for Elementor para WordPress para a versão 2.7.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** The Ultimate Addons for Elementor (Anteriormente Elementor Header & Footer Builder) versões anteriores à 2.5.0 **Descrição** O software não sanitiza corretamente o conteúdo de arquivos SVG quando enviados. Isso ocorre ao utilizar o endpoint `xmlrpc.php` com codificação base64, o que pode levar a uma vulnerabilidade de Cross-Site Scripting. O endpoint vulnerável é `/xmlrpc.php`. A operação vulnerável envolve o upload de arquivos SVG usando dados codificados em base64. **Recomendações** Atualize o The Ultimate Addons for Elementor (Anteriormente Elementor Header & Footer Builder) para a versão 2.5.0 ou posterior.

Nome do software vulnerável e versões afetadas: Versões do smallweigit Avue até a 3.4.4 Descrição: Foi encontrada uma vulnerabilidade crítica no componente avueUeditor, que permite a execução de scripts entre sites (XSS). O ataque pode ser lançado remotamente. O código de exploração já foi divulgado publicamente e pode estar em uso. O mantenedor do código observa que “o formato de texto rico não é mais mantido”. Recomendações: Para versões até 3.4.4, considere desativar o componente avueUeditor para minimizar o risco de exploração até que um patch esteja disponível. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

**Nome do software vulnerável e versões afetadas** Versões do Samsung Pay anteriores à 4.0.65 **Descrição** O problema está relacionado a uma verificação ou tratamento inadequado de condições de exceção, o que permite que um invasor utilize o NFC sem o reconhecimento do usuário. **Recomendações** Para versões anteriores à 4.0.65, atualize para a versão 4.0.65 ou posterior para resolver o problema.

**Name of the Vulnerable Software and Affected Versions** Traveloka application version 3.14.0 **Description** The issue allows for the opening of arbitrary URLs, potentially injecting deceptive content into the UI. When in physical possession of the device, it is also possible to open local files. The vendor has stated that the issue is not critical as it does not allow elevation of privilege, sensitive data leakage, or critical unauthorized activity from a malicious user, and requires the installation of a malicious APK. **Recommendations** For Traveloka application version 3.14.0, consider restricting access to the `com.traveloka.android.activity.common.WebViewActivity` component to minimize the risk of exploitation. As a temporary workaround, avoid using the application for sensitive activities until a patch is available. At the moment, there is no information about a newer version that contains a fix for this vulnerability.