Vaibhav Narkhede

**Nome do Software Vulnerável e Versões Afetadas** Buckaroo Woocommerce Payments Plugin versões anteriores a 4.9.0 **Descrição** Existe um problema onde o plugin não realiza verificações de capacidade ou validação de nonce—um mecanismo de segurança usado para prevenir falsificação de requisição cross-site—em uma ação AJAX utilizada para processar reembolsos de captura de pagamento. Isso permite que qualquer usuário autenticado, incluindo aqueles com privilégios de Assinante, acione reembolsos de pedidos capturados. **Recomendações** Atualize o plugin para a versão 4.9.0 ou posterior.

The JS Help Desk WordPress plugin before 3.1.4 grants a support-agent capability to the Contributor role on activation and does not perform a capability check on a user-listing handler, allowing Contributor-level users to enumerate the email addresses of all registered WordPress users.

The Animation Addons for Elementor WordPress plugin before 2.7.0 does not sanitise uploaded SVG/SVGZ files, which it adds to the list of allowed upload types, allowing users with the upload files capability (Author and above) to upload files containing malicious JavaScript, leading to Stored Cross-Site Scripting.

**Nome do Software Vulnerável e Versões Afetadas** Header Footer Builder for Elementor versões anteriores a 1.2.1 **Descrição** Requisitos insuficientes de capacidade administrativa para a ação de importação de modelo do painel permitem que usuários com permissões `edit posts`, como Colaboradores, importem modelos. Um invasor pode incluir um widget HTML do Elementor configurado para exibição em todo o site para injetar JavaScript que é executado na sessão de qualquer visitante ou administrador que carregue o site. **Recomendações** Atualize o Header Footer Builder for Elementor para a versão 1.2.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Adminify WordPress plugin versões anteriores a 4.2.10 **Description** Existe um problema em um recurso de pesquisa de administração que falha ao realizar verificações de capacidade de leitura por usuário nos resultados retornados. Isso permite que usuários com funções de baixo privilégio, como Contributor, divulguem conteúdo não público que normalmente seria restrito, incluindo títulos de postagens não publicadas de outros autores, conteúdo de comentários pendentes, nomes de contas de usuário e o inventário do plugin. **Recommendations** Atualize o Adminify WordPress plugin para a versão 4.2.10 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Decent Comments versões anteriores a 3.0.2 **Description** O plugin Decent Comments para WordPress não restringe o acesso aos endereços de e-mail dos autores de comentários e dos autores de postagens por meio de seu endpoint de API REST. Isso permite que atacantes não autenticados enumerem os endereços de e-mail de usuários registrados. **Recommendations** Atualize para a versão 3.0.2 ou posterior.