Zaim

**Nome do Software Vulnerável e Versões Afetadas** WPC Badge Management for WooCommerce versões anteriores a 3.1.7 **Description** Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes em atributos fornecidos pelo usuário. Atacantes autenticados com nível de acesso Colaborador (Contributor) ou superior podem injetar scripts web arbitrários através do atributo `text` do shortcode `wpcbm best seller`. Esses scripts são executados sempre que um usuário acessa a página afetada. **Recommendations** Atualize o WPC Badge Management for WooCommerce para uma versão posterior a 3.1.6. Como medida de mitigação temporária, restrinja a capacidade de usuários com nível de acesso Colaborador de editar páginas ou utilizar o shortcode `wpcbm best seller`.

**Nome do Software Vulnerável e Versões Afetadas** WP Customer Area versões anteriores a 8.3.6 **Descrição** Ocorre Cross-Site Scripting (XSS) Armazenado devido à sanitização de entrada e escape de saída insuficientes no atributo `type` do shortcode `customer-area-protected-content`. Atacantes autenticados com nível de acesso de Colaborador ou superior podem injetar scripts web arbitrários em páginas, que serão executados sempre que um usuário acessar a página afetada. **Recomendações** Atualize o WP Customer Area para a versão 8.3.6 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** fresh Podcaster plugin for WordPress versões anteriores a 1.0.8 **Description** Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes em atributos fornecidos pelo usuário no shortcode `freshpodcaster`. Atacantes autenticados com nível de acesso de contribuidor ou superior podem injetar scripts web arbitrários em páginas, que serão executados sempre que um usuário acessar a página afetada. **Recommendations** Atualize o plugin para uma versão posterior a 1.0.7.

**Nome do Software Vulnerável e Versões Afetadas** Jeg Kit for Elementor versões anteriores a 3.2.7 **Descrição** Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes do atributo de descrição dentro do método `render body()` da classe `Image Box View`. Enquanto outros atributos são processados usando `esc attr()`, o valor do parâmetro `sg body description` no widget Image Box é concatenado diretamente no contexto do corpo HTML. Isso permite que atacantes autenticados com nível de acesso Colaborador ou superior injetem scripts web arbitrários em páginas, que são executados quando um usuário visita a página afetada. **Recomendações** Atualize para uma versão posterior à 3.2.6. Como mitigação temporária, restrinja o acesso ao widget Image Box ou evite usar o parâmetro `sg body description` até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** Bookero.pl – system rezerwacji online plugin for WordPress versões anteriores a 2.3 **Descrição** Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes na função `bookero products()`. Atacantes autenticados com nível de acesso de contribuidor ou superior podem injetar scripts web arbitrários através dos atributos `hide products` e `filter products` do shortcode `bookero products`. Esses scripts são concatenados diretamente em um bloco `<script>` inline e são executados quando um usuário acessa a página afetada. **Recomendações** Atualize o plugin para uma versão posterior a 2.2. Como mitigação temporária, restrinja o acesso de nível de contribuidor à edição de páginas que utilizam o shortcode `bookero products`.

**Nome do Software Vulnerável e Versões Afetadas** Website Builder by SeedProd - Theme Builder, Landing Page Builder, Coming Soon Page, Maintenance Mode versões anteriores a 6.20.3 **Descrição** Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes em atributos fornecidos pelo usuário no shortcode `seedprodnestedmenuwidget`. Isso permite que atacantes autenticados com nível de acesso de contribuidor ou superior injetem scripts web arbitrários em páginas, que são executados sempre que um usuário acessa a página afetada. **Recomendações** Atualize para uma versão posterior a 6.20.2.

**Nome do Software Vulnerável e Versões Afetadas** Structured Content versões anteriores a 1.7.1 **Descrição** Cross Site Scripting (XSS) permite que um invasor com privilégios de contribuidor execute scripts maliciosos no navegador de outros usuários. **Recomendações** Atualize o Structured Content para uma versão posterior a 1.7.0.

**Nome do Software Vulnerável e Versões Afetadas** Mosaic Gallery – Advanced Gallery versões anteriores a 1.2.1 **Description** Um problema de Cross Site Scripting (XSS) existe que permite que usuários com privilégios de Colaborador executem scripts maliciosos. XSS é um tipo de falha de segurança onde um invasor injeta scripts em páginas da web visualizadas por outros usuários. **Recommendations** Atualize o Mosaic Gallery – Advanced Gallery para uma versão posterior a 1.2.0.

**Nome do Software Vulnerável e Versões Afetadas** Surbma | Yoast SEO Breadcrumb Shortcode versões anteriores a 1.3 **Descrição** Cross Site Scripting (XSS) permite que um invasor com privilégios de contribuidor execute scripts maliciosos no navegador de outros usuários. XSS é uma falha de segurança onde uma aplicação inclui dados não confiáveis em uma página web sem a devida validação ou escape. **Recomendações** Atualize o Surbma | Yoast SEO Breadcrumb Shortcode para uma versão posterior a 1.2.

**Nome do Software Vulnerável e Versões Afetadas** LearnPress versões anteriores a 4.4.1 **Description** Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes na função `FilterCourseTemplate::sections()`. Um invasor autenticado com nível de acesso de contribuidor ou superior pode injetar scripts web arbitrários através do atributo `class wrapper form` do shortcode `class wrapper form`. O problema surge porque o manipulador `FilterCourseShortcode::render()` não aplica a filtragem `shortcode atts()`, permitindo que atributos brutos do usuário sejam inseridos em um atributo de classe HTML via `sprintf()` sem o escape adequado de `esc attr()`. Esses scripts são executados sempre que um usuário visita a página afetada. **Recommendations** Atualize o LearnPress para uma versão posterior à 4.4.0. Como medida de mitigação temporária, restrinja usuários com nível de acesso de contribuidor de criar ou editar páginas que contenham shortcodes.

**Name of the Vulnerable Software and Affected Versions** RealMag777 MDTF wp-meta-data-filter-and-taxonomy-filter versions through 1.3.5 **Description** The software contains a flaw related to improper input neutralization during web page generation, leading to a DOM-based cross-site scripting issue. This allows for the execution of malicious scripts within the user's browser. **Recommendations** Versions through 1.3.5 should be updated to a newer, secure version when available.

**Name of the Vulnerable Software and Affected Versions** Podlove Podcast Publisher versions through 4.3.3 **Description** The software is susceptible to a cross-site scripting issue due to improper input validation during web page generation. This allows for the injection of malicious scripts, specifically Stored XSS. The issue affects the Podlove Podcast Publisher WordPress plugin. **Recommendations** Versions prior to and including 4.3.3 are affected. At the moment, there is no information about a newer version that contains a fix for this vulnerability.

**Name of the Vulnerable Software and Affected Versions** Active Products Tables for WooCommerce versions through 1.0.7 **Description** The software contains a flaw related to improper handling of user-supplied data during web page creation, which can lead to a DOM-based cross-site scripting (XSS) issue. This allows an attacker to inject malicious scripts into web pages viewed by other users. The issue affects the `profit-products-tables-for-woocommerce` component. **Recommendations** Update Active Products Tables for WooCommerce to a version newer than 1.0.7.

**Name of the Vulnerable Software and Affected Versions** Themify Event Post versions through 1.3.4 **Description** The software contains a flaw due to improper neutralization of input during web page generation, leading to a Stored Cross-site Scripting (XSS) issue. This allows for the injection of malicious scripts into web pages. The vulnerability exists in the `themify-event-post` component. The issue allows for Stored XSS, meaning the malicious script is persistently stored on the target server. **Recommendations** Update Themify Event Post to a version later than 1.3.4.

**Name of the Vulnerable Software and Affected Versions** Stylish Cost Calculator versions through 8.1.8 **Description** The software contains a flaw due to improper handling of user-supplied data when creating web pages, leading to a potential Cross-site Scripting (XSS) issue. This specific instance allows for Stored XSS, meaning malicious scripts can be stored and executed by other users. The vulnerability exists because the application does not adequately sanitize input, potentially allowing attackers to inject malicious code into web pages viewed by other users. **Recommendations** Update Stylish Cost Calculator to a version later than 8.1.8.

**Name of the Vulnerable Software and Affected Versions** BuddyDev MediaPress versions through 1.6.2 **Description** The software contains a flaw due to improper neutralization of input during web page generation, leading to a Stored Cross-site Scripting (XSS) condition. This allows for the injection of malicious scripts into web pages viewed by other users. The vulnerability affects the MediaPress plugin. No information was provided regarding the number of potentially affected devices or any real-world incidents where this issue was exploited. The vulnerability allows for Stored XSS, meaning that malicious scripts are permanently stored on the target server. **Recommendations** Update BuddyDev MediaPress to a version newer than 1.6.2.

**Nome do Software Vulnerável e Versões Afetadas** WP for church Sermon Manager versões até 2.30.0 **Descrição** O software contém uma falha relacionada ao tratamento inadequado de entrada durante a criação de páginas web, especificamente uma questão de Cross-site Scripting Armazenado. Isso permite a injeção de scripts maliciosos. O componente afetado permite que um atacante execute código arbitrário no contexto do navegador de um usuário. A vulnerabilidade impacta o plugin Sermon Manager. **Recomendações** Atualize o WP for church Sermon Manager para uma versão posterior a 2.30.0.

**Nome do Software Vulnerável e Versões Afetadas** Tomas WordPress Tooltips versões até a 10.7.9 **Descrição** O software contém uma falha relacionada ao tratamento inadequado de entrada durante a geração de páginas web, especificamente uma questão de Cross-site Scripting (XSS) Armazenado. Isso permite a injeção de scripts maliciosos em páginas web. A vulnerabilidade afeta a maneira como os dados fornecidos pelo usuário são processados e exibidos, potencialmente permitindo que um atacante execute código arbitrário no contexto do navegador de um usuário. O componente afetado está suscetível a ataques nos quais o código malicioso é armazenado no servidor de destino e, em seguida, entregue aos usuários quando eles visualizam a página afetada. **Recomendações** Atualize o Tomas WordPress Tooltips para uma versão posterior à 10.7.9.

**Nome do Software Vulnerável e Versões Afetadas** Versões do Magnigenie RestroPress até a 3.2.4.2 **Descrição** O software contém uma falha relacionada à manipulação inadequada de entrada durante a geração de páginas web, especificamente um problema de Cross-Site Scripting (XSS) Armazenado. Isso permite a injeção de scripts maliciosos em páginas web. A vulnerabilidade existe no RestroPress. O componente afetado não é especificado. A vulnerabilidade permite XSS Armazenado. **Recomendações** Atualize para uma versão superior à 3.2.4.2.

**Name of the Vulnerable Software and Affected Versions** WP Last Modified Info versions through 1.9.2 **Description** A flaw exists in WP Last Modified Info that allows for Remote Code Inclusion due to improper control of code generation. This issue allows an attacker to inject code remotely. **Recommendations** Update WP Last Modified Info to a version newer than 1.9.2.