Athiwat Tiprasaharn

The Dark Mode – Improve Accessibility with AI Powered Dark Theme plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'icon light' Shortcode Attribute in all versions up to, and including, 5.3.17 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

**Name of the Vulnerable Software and Affected Versions** WP Multilang – Translation and Multilingual Plugin versions prior to 2.4.32 **Description** Insufficient input sanitization and output escaping allow authenticated attackers with Contributor-level access and above to perform Stored Cross-Site Scripting (XSS). This occurs via the post content, enabling the injection of arbitrary web scripts into pages that execute when accessed by other users. **Recommendations** Update WP Multilang – Translation and Multilingual Plugin to version 2.4.32 or later.

**Name of the Vulnerable Software and Affected Versions** Contextual Related Posts versions prior to 4.4.2 **Description** Insufficient input sanitization and output escaping allow authenticated attackers with author-level access and above to perform Stored Cross-Site Scripting. This is achieved by injecting arbitrary web scripts through the `other attributes` block parameter, which then execute when a user visits the affected page. **Recommendations** Update Contextual Related Posts to version 4.4.2 or later. As a temporary mitigation, restrict author-level access to the `other attributes` block parameter.

**Name of the Vulnerable Software and Affected Versions** WP Composer – The Easiest Page Builder versions prior to 1.0.6 **Description** Stored Cross-Site Scripting occurs via the `pbwp raw shortcode` shortcode. The shortcode handler decodes Base64-encoded content and outputs it directly without sanitization or escaping. This allows authenticated attackers with Contributor-level access or higher to inject arbitrary web scripts into pages. Because the payload is Base64 encoded, it bypasses KSES (a WordPress content filtering system) during the save process as the encoded string lacks harmful HTML characters. The scripts execute whenever a user visits the affected page. **Recommendations** Update WP Composer – The Easiest Page Builder to version 1.0.6 or later. As a temporary mitigation, restrict the use of the `pbwp raw shortcode` shortcode.

**Name of the Vulnerable Software and Affected Versions** Wow Elements Addons for Elementor versions prior to 1.11.3 **Description** This issue is a Server-Side Request Forgery, a flaw that allows an attacker to induce the server-side application to make requests to an unintended location. Authenticated users with Contributor-level access and above can exploit this by providing malicious input through the 'Changelog File' setting, which is passed to the `wp remote get()` function without proper validation or sanitization of the URL. This allows attackers to make web requests to arbitrary locations from the web application to query or modify information from internal services. **Recommendations** Update Wow Elements Addons for Elementor to version 1.11.3 or later.

**Name of the Vulnerable Software and Affected Versions** YS LeadGen versions prior to 2.1.5 **Description** The plugin is subject to sensitive information exposure because the `ysleadgen get captured data` AJAX action is accessible to unauthenticated users. This allows an attacker to retrieve all captured form submission data, including personally identifiable information (PII) such as names, email addresses, and message content. **Recommendations** Update the plugin to a version newer than 2.1.4. As a temporary mitigation, restrict access to the `ysleadgen get captured data` AJAX action.

**Name of the Vulnerable Software and Affected Versions** YS LeadGen versions prior to 2.1.5 **Description** An authorization bypass and Stored Cross-Site Scripting (XSS) issue exists due to missing capability checks on popup management actions. Authenticated users with Subscriber-level access or higher can exploit multiple AJAX endpoints to create arbitrary popups and inject malicious JavaScript. This script executes when the popup is displayed to other users. Stored XSS is a type of vulnerability where a malicious script is permanently stored on the target server. **Recommendations** Update the plugin to a version newer than 2.1.4.

**Name of the Vulnerable Software and Affected Versions** VK All in One Expansion Unit versions prior to 9.118.1 **Description** Insufficient input sanitization and output escaping allow authenticated attackers with contributor-level access and above to perform Stored Cross-Site Scripting. This occurs via the `vkExUnit cta img position` Post Meta. The `sanitize text field` callback fails to strip double-quote characters or `on*` event-handler attributes during the save process. Additionally, the `Vk Call To Action::safe kses post()` function only rewrites disallowed iframe elements and returns other content verbatim, allowing injected web scripts to execute when a user accesses the affected page. **Recommendations** Update VK All in One Expansion Unit to version 9.118.1 or later.

**Name of the Vulnerable Software and Affected Versions** Brizy – Page Builder versions prior to 2.8.15 **Description** Stored Cross-Site Scripting occurs due to insufficient input sanitization and output escaping. Authenticated attackers with Contributor-level access or higher can inject arbitrary web scripts into pages via the `rootAttributes` parameter. These scripts execute automatically whenever a user visits the affected page. **Recommendations** Update Brizy – Page Builder to version 2.8.15 or later.

**Name of the Vulnerable Software and Affected Versions** Co-Authors, Multiple Authors and Guest Authors in an Author Box with PublishPress Authors versions prior to 4.15.1 **Description** Stored Cross-Site Scripting occurs due to insufficient input sanitization and output escaping. Authenticated attackers with Author-level access or higher can inject arbitrary web scripts via the `profile fields user email value prefix` parameter. These scripts execute when a user clicks on a link. **Recommendations** Update to a version newer than 4.15.0. Avoid using the `profile fields user email value prefix` parameter until the update is applied.

**Name of the Vulnerable Software and Affected Versions** Graphina – Charts and Graphs For Elementor versions prior to 3.1.12 **Description** Stored Cross-Site Scripting occurs due to insufficient input sanitization and output escaping. Authenticated attackers with contributor-level access and above can inject arbitrary web scripts through the `iq tree tree chart template` Widget Setting. These scripts execute whenever a user accesses the affected page. **Recommendations** Update Graphina – Charts and Graphs For Elementor to version 3.1.12 or later. Restrict access to the `iq tree tree chart template` Widget Setting to minimize the risk of exploitation.

**Name of the Vulnerable Software and Affected Versions** GutenKit – Page Builder Blocks, Patterns, and Templates for Gutenberg Block Editor versions prior to 2.4.5 **Description** Stored Cross-Site Scripting occurs due to insufficient input sanitization and output escaping. Authenticated attackers with Contributor-level access and above can inject arbitrary web scripts through the `postBodyCss` parameter. These scripts execute whenever a user accesses an affected page. **Recommendations** Update the plugin to version 2.4.5 or later. As a temporary mitigation, restrict access to the `postBodyCss` parameter for users with Contributor-level permissions.

**Name of the Vulnerable Software and Affected Versions** Greenshift versions prior to 12.9.0 **Description** The Greenshift – animation and page builder blocks plugin for WordPress contains a Stored Cross-Site Scripting issue. This occurs because the `customapi` action handler does not sufficiently sanitize API responses before they are output using `innerHTML`. Consequently, authenticated attackers with Contributor-level access or higher can inject arbitrary web scripts into pages, which then execute when a user visits the affected page. **Recommendations** Update the plugin to a version newer than 12.8.9.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Image Photo Gallery Final Tiles Grid الأقدم من 3.6.13 **الوصف** يؤدي عدم كفاية تنقية المدخلات وتهريب المخرجات إلى تمكين المهاجمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى «المساهم» (Contributor) أو أعلى من تنفيذ هجمات «البرمجة النصية عبر المواقع المخزنة» (Stored Cross-Site Scripting). ويتم ذلك عن طريق حقن نصوص برمجية ويب عشوائية عبر سمة الرمز القصير `delay`، والتي يتم تنفيذها بعد ذلك عندما يزور المستخدم الصفحة المتأثرة. **التوصيات** قم بتحديث Image Photo Gallery Final Tiles Grid إلى إصدار أحدث من 3.6.12. تجنب استخدام سمة الرمز القصير `delay` حتى يتم تطبيق التحديث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** WS Form LITE – Drag & Drop Contact Form Builder، الإصدارات الأقدم من 1.10.81 **الوصف** المكوّن الإضافي معرض لخطر «حقن كائنات PHP» (PHP Object Injection)، وهي حالة يتم فيها فك تسلسل المدخلات غير الموثوق بها، مما يسمح للمهاجم بحقن كائنات PHP. ويحدث ذلك من خلال معالجة قيم التعريف (meta) الخاصة بإرسال النماذج. على الرغم من أن البرنامج نفسه لا يحتوي على سلسلة POP معروفة (البرمجة الموجهة للخصائص، وهي تقنية تُستخدم لتنفيذ تعليمات برمجية عشوائية من خلال الاستفادة من الفئات الموجودة في التطبيق)، فإن المشكلة تصبح خطيرة إذا كان هناك مكون إضافي أو سمة أخرى مثبتة توفر مثل هذه السلسلة. في مثل هذه الحالات، يمكن لمهاجم غير مصدق أن يحذف ملفات عشوائية، أو يسترد بيانات حساسة، أو ينفذ تعليمات برمجية. **التوصيات** قم بتحديث المكون الإضافي إلى إصدار أحدث من 1.10.80.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** PPWP: Password Protect Pages, Posts & Full or Partial Content — الإصدارات الأقدم من 1.9.16 **الوصف** يؤدي فحص غير سليم للصلاحيات في الدالة `can access()` إلى تمكين المهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المساهم» (Contributor) أو أعلى من استرداد كلمة المرور الرئيسية. تتيح هذه الثغرة الوصول غير المصرح به إلى أي محتوى محمي بكلمة مرور داخل النظام. **التوصيات** قم بتحديث المكون الإضافي إلى إصدار أحدث من 1.9.15.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** TableOn – إصدارات WordPress Posts Table Filterable السابقة للإصدار 1.0.5.2 **الوصف** يمكن للمهاجمين غير المصادق عليهم تنفيذ هجوم حقن SQL أعمى من خلال المعلمة `filter data[comment count]` الخاصة بعملية AJAX العامة `tableon get table data`. تحدث هذه المشكلة لأن المدخلات التي يقدمها المستخدم يتم تقسيمها عند علامة النقطتين وإدراجها مباشرةً في جملة SQL `posts where` دون استخدام تحويل النوع `intval()` أو `$wpdb->prepare()`. وهذا يسمح بتنفيذ استعلامات SQL إضافية لاستخراج البيانات الحساسة من قاعدة البيانات، مثل أسماء قواعد البيانات وأسماء المستخدمين وكلمات المرور. **التوصيات** قم بالتحديث إلى إصدار أحدث من 1.0.5.1. كحل مؤقت، قم بتقييد الوصول إلى إجراء AJAX `tableon get table data` لتقليل مخاطر الاستغلال.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات LightSync Pro الأقدم من 2.1.7 **الوصف** يسمح المكون الإضافي LightSync Pro الخاص بـ WordPress للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المؤلف» (Author) أو أعلى بتحميل ملفات عشوائية إلى الخادم. تحدث هذه المشكلة لأن الدالة `rest replace media()` تفشل في التحقق من صحة أنواع الملفات، مما قد يؤدي إلى تنفيذ تعليمات برمجية عن بُعد. **التوصيات** قم بتحديث المكون الإضافي إلى إصدار أحدث من 2.1.6. كحل مؤقت، قم بتقييد الوصول إلى الدالة `rest replace media()` لتقليل مخاطر الاستغلال إلى أدنى حد.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** Content Egg – Affiliate Product Importer & Price Comparison، الإصدارات الأقدم من 11.3.1 **الوصف** توجد ثغرة تسمح بحذف ملفات عشوائية نتيجة لاختراق المسار (path traversal)، حيث يمكن للمهاجم استخدام تسلسلات أحرف خاصة للوصول إلى ملفات خارج الدليل المقصود وحذفها. تحدث هذه الثغرة لأن حقل `img file` داخل بيانات تعريف المنشور `cegg data` لا يتم التحقق من صحته بشكل صحيح، حيث تفشل الدالة `wp strip all tags()` في إزالة تسلسلات تجاوز المسار. يتم تخزين هذه القيمة في بيانات تعريف المنشور ثم يتم ربطها لاحقًا بمسار نظام الملفات داخل الدالة `getFullImgPath()` قبل معالجتها بواسطة دالة PHP `unlink()`. يمكن للمستخدمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى المؤلف أو أعلى استغلال هذه الثغرة لحذف ملفات عشوائية على الخادم، مما قد يؤدي إلى تنفيذ تعليمات برمجية عن بُعد. **التوصيات** قم بالتحديث إلى إصدار أحدث من 11.3.0. كإجراء تخفيفي مؤقت، قم بتقييد أذونات المستخدمين لمنع المستخدمين الذين يتمتعون بحقوق وصول على مستوى المؤلف من تعديل بيانات تعريف المنشور المرتبطة بحقل `img file`.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** Logo Slider – Logo Carousel، Client Logo Slider و Brand Showcase لإصدارات WordPress السابقة للإصدار 5.6 **الوصف** تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) بسبب عدم كفاية عملية تنقية المدخلات وتشفير المخرجات. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى حقن نصوص برمجية ويب تعسفية عبر المعلمة `lgx tooltip position`. يتم تنفيذ هذه النصوص البرمجية تلقائيًا عندما يزور المستخدم الصفحة المتأثرة. **التوصيات** قم بتحديث المكون الإضافي إلى إصدار أحدث من 5.5. قم بتقييد استخدام المعلمة `lgx tooltip position` للمستخدمين الذين يتمتعون بحق الوصول على مستوى المساهم حتى يتم تطبيق التحديث.