Jonah Burgess

The User Registration & Membership – Free & Paid Memberships, Subscriptions, Content Restriction, User Profile, Custom User Registration & Login Builder plugin for WordPress is vulnerable to Cross-Site Request Forgery in all versions up to, and including, 5.2.8 This is due to missing or incorrect nonce validation on the trigger bulk action function. This makes it possible for unauthenticated attackers to force administrators to approve pending user registrations or deny arbitrary user accounts, locking targeted users out of the site via a forged request granted they can trick a site administrator into performing an action such as clicking on a link. An attacker can bypass the earlier nonce check in trigger query actions() by supplying an empty new role parameter, which causes that handler to return early and cede control to the unprotected trigger bulk action() handler; the exit() call at the end of that handler additionally prevents WordPress core's own bulk-users nonce validation from executing.

The Form Maker by 10Web – Mobile-Friendly Drag & Drop Contact Form Builder plugin for WordPress is vulnerable to blind SQL Injection via the 'inputs' parameter in all versions up to, and including, 1.15.48 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for unauthenticated attackers to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database. The nonce required to reach the vulnerable handler is emitted to every public page that renders a form, making it trivially obtainable by an unauthenticated attacker from page source.

**Name of the Vulnerable Software and Affected Versions** Booking Calendar versions prior to 11.4.4 **Description** The Booking Calendar plugin for WordPress contains a flaw that allows unauthenticated attackers to extract sensitive customer data, such as names, email addresses, and phone numbers of individuals who have made bookings. This occurs through the `wpbc is show popover in flex timeline()` function. **Recommendations** Update the plugin to version 11.4.4 or later. As a temporary workaround, consider restricting access to the `wpbc is show popover in flex timeline()` function until the update is applied.

**Name of the Vulnerable Software and Affected Versions** User Profile Builder – Beautiful User Registration Forms, User Profiles & User Role Editor versions prior to 4.0.3 **Description** Insufficient input sanitization and output escaping allow unauthenticated attackers to perform Stored Cross-Site Scripting (XSS), a technique where malicious scripts are permanently stored on the target server. The issue occurs in the `wppb save avatar value()` function, where a zero-length multipart file branch writes raw request values directly to user meta, bypassing the validation performed by `wppb save attachment id()` and `wppb verify attachment id()`. The stored payload is subsequently treated as a WordPress attachment URL and rendered without escaping by the `wppb default fields make upload button()` function when an administrator views the compromised account. **Recommendations** Update User Profile Builder – Beautiful User Registration Forms, User Profiles & User Role Editor to version 4.0.3 or later.

**Name of the Vulnerable Software and Affected Versions** GeoDirectory – WP Business Directory Plugin and Classified Listings Directory plugin for WordPress versions prior to 2.8.182 **Description** Insufficient input sanitization and output escaping allow authenticated attackers with subscriber-level access and above to perform Stored Cross-Site Scripting (XSS). This occurs when arbitrary web scripts are injected into text-type custom fields, such as `phone`, which then execute when a user visits the affected page. The attack is carried out via the AJAX `geodir save post` endpoint by using entity-encoded angle brackets to bypass the `strpos()`-gated tag-stripping check. **Recommendations** Update to a version newer than 2.8.181.

**Name of the Vulnerable Software and Affected Versions** wpForo Forum versions prior to 3.1.6 **Description** An authorization bypass exists because the plugin fails to properly verify if a user is authorized to perform specific actions. Authenticated attackers with subscriber-level access or higher can take over a guest author's forum post to modify the title, body, author name, and stored owner email address. This exploitation occurs via the `wpforo post edit` action and requires a forged `comment author email` cookie. The attack is only possible if guest posting and editing are enabled and the attacker knows the target guest author's email address. **Recommendations** Update wpForo Forum to version 3.1.6 or later. As a temporary mitigation, disable guest posting and editing features on the forum.

**Name of the Vulnerable Software and Affected Versions** Better Messages – Chat Rooms, Group Chat, Private Messages & AI Chat Bots versions prior to 2.15.34 **Description** The plugin is subject to information exposure through spoofing. The `is ai bot user()` function identifies privileged internal AI bot accounts by checking for the `'ai-chat-bot-'` prefix in a guest record's stored IP address. This IP address is taken directly from the client-controlled `X-Real-IP` request header during unauthenticated guest registration at the `/guests/register` endpoint. Consequently, unauthenticated attackers can register a guest identity that the system recognizes as an internal AI bot. This allows them to bypass the per-room role allowlist, draft-status checks, and join filters—which are bypassed by the bot check in `user can join()` and `user can read()` functions—enabling them to join administrator-restricted chat rooms, post messages, and read the private message history of other users. **Recommendations** Update the plugin to a version newer than 2.15.33.

**Name of the Vulnerable Software and Affected Versions** WCFM Marketplace versions prior to 3.8.2 **Description** The WCFM Marketplace plugin for WordPress is subject to SQL Injection, a technique where malicious SQL statements are inserted into entry fields for execution. This occurs because the application fails to properly escape the `wcfmmp user location lng` parameter and lacks sufficient preparation of the SQL query. Unauthenticated attackers can exploit this by manipulating checkout coordinates to append additional queries, allowing the extraction of sensitive data, such as WordPress password hashes, from the database. **Recommendations** Update the plugin to version 3.8.2 or later. As a temporary mitigation, restrict or disable the functionality that processes the `wcfmmp user location lng` parameter.

**Name of the Vulnerable Software and Affected Versions** Booking for Appointments and Events Calendar – Amelia (Premium version) versions prior to 2.4.5 **Description** Unauthorized access and modification of data occur due to missing ownership verification on the '/users/customers/<id>' endpoint. Authenticated attackers with the `wpamelia-provider` role can view and modify arbitrary customer data, including triggering password resets. This can lead to the takeover of WordPress user accounts with roles up to Editor, provided the target user has made a booking through the plugin. This issue specifically affects the Premium version where the Employee Panel is enabled. **Recommendations** Update the plugin to version 2.4.5 or later. Restrict access to the '/users/customers/<id>' endpoint for users with the `wpamelia-provider` role until the update is applied.

**Name of the Vulnerable Software and Affected Versions** Better Messages – Chat Rooms, Group Chat, Private Messages & AI Chat Bots versions prior to 2.15.23 **Description** Insufficient input sanitization and output escaping allow unauthenticated attackers to perform Reflected Cross-Site Scripting (XSS), a technique where malicious scripts are injected into a web page and executed in the victim's browser. This occurs via the `icn` parameter, enabling the execution of arbitrary web scripts if a user is tricked into clicking a malicious link. **Recommendations** Update Better Messages – Chat Rooms, Group Chat, Private Messages & AI Chat Bots to version 2.15.23 or later. Avoid using the `icn` parameter until the plugin is updated.

**Name of the Vulnerable Software and Affected Versions** Job Postings plugin for WordPress versions prior to 2.8.2 **Description** Stored Cross-Site Scripting occurs due to insufficient input sanitization and output escaping. Authenticated attackers with contributor-level access and above can inject arbitrary web scripts via the `position button` parameter. These scripts execute whenever a user accesses the affected page. **Recommendations** Update the plugin to version 2.8.2 or later. As a temporary mitigation, restrict access to the `position button` parameter for users with contributor-level permissions.

**Name of the Vulnerable Software and Affected Versions** WP Photo Album Plus versions prior to 9.2.08.004 **Description** Insufficient input sanitization and output escaping allow unauthenticated attackers to perform Stored Cross-Site Scripting (XSS), a technique where malicious scripts are permanently stored on a target server. The issue occurs via the `HTTP X FORWARDED FOR` parameter. An attacker can trigger the `wppa log()` function by deliberately failing a nonce check for the `getshortcodedrenderedfenodelay` action, which causes the attacker-supplied value to be recorded to disk. This process is reachable through the `wp ajax nopriv wppa` endpoint, enabling the execution of arbitrary web scripts when a user accesses an affected page. **Recommendations** Update WP Photo Album Plus to version 9.2.08.004 or later.

**Name of the Vulnerable Software and Affected Versions** Ninja Forms – The Contact Form Builder That Grows With You versions prior to 3.15.2 **Description** Insufficient input sanitization and output escaping allow unauthenticated attackers to perform Stored Cross-Site Scripting (XSS), a technique where malicious scripts are permanently stored on the target server. The issue occurs via Repeater Child `type` Confusion through an unmatched array key. When the Ninja Forms File Uploads add-on is active, an attacker can route an unwhitelisted child entry through the File Uploads handler to write an HTML file containing arbitrary JavaScript into any web-server-writable directory, including the site root. **Recommendations** Update Ninja Forms – The Contact Form Builder That Grows With You to version 3.15.2 or later. As a temporary mitigation, deactivate the Ninja Forms File Uploads add-on.

**Name of the Vulnerable Software and Affected Versions** MetForm – Contact Form, Survey, Quiz, & Custom Form Builder for Elementor versions prior to 4.1.9 **Description** Insufficient input sanitization and output escaping allow authenticated attackers with contributor-level access and above to perform Stored Cross-Site Scripting (XSS). This occurs via the `mf form id` Widget Setting, enabling the injection of arbitrary web scripts into pages that execute when accessed by users. The attack bypasses the `wp kses post` filter used by Elementor because the payload contains no HTML tags. Additionally, the use of the `str replace()` function to transform script tags into JavaScript template literal expressions creates an alternative delivery path for the scripts. **Recommendations** Update MetForm – Contact Form, Survey, Quiz, & Custom Form Builder for Elementor to version 4.1.9 or later. As a temporary mitigation, restrict access to the `mf form id` Widget Setting for users with contributor-level permissions.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** Quiz and Survey Master (QSM) – إصدارات Easy Quiz and Survey Maker الأقدم من 11.2.2 **الوصف** تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) بسبب عدم كفاية عملية تنقية المدخلات وتصفية المخرجات. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى حقن نصوص برمجية ويب تعسفية عبر المعلمة `question title`. يتم تنفيذ هذه النصوص البرمجية كلما قام مستخدم بالوصول إلى الصفحة المتأثرة. **التوصيات** التحديث إلى الإصدار 11.2.2 أو أحدث. تقييد استخدام المعلمة `question title` للمستخدمين الذين يتمتعون بحق الوصول على مستوى المساهم كإجراء تخفيفي مؤقت.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** UsersWP – المكون الإضافي الخاص بنموذج تسجيل الدخول في الواجهة الأمامية، وتسجيل المستخدمين، وملف تعريف المستخدم، ودليل الأعضاء، لإصدارات WordPress السابقة للإصدار 1.2.70 **الوصف** تحدث ثغرة «التنفيذ البرمجي عبر المواقع» (XSS) المخزنة بسبب عدم كفاية تنقية المدخلات وتصفية المخرجات أثناء عملية استبدال متغيرات أداة Badge Widget. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المشترك أو أعلى بحقن نصوص برمجية ويب عشوائية في الصفحات، والتي يتم تنفيذها بعد ذلك عندما يزور المستخدم الصفحة المتأثرة. **التوصيات** تحديث المكون الإضافي إلى الإصدار 1.2.70 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** Essential Addons for Elementor، الإصدارات الأقدم من 6.6.12 **الوصف** تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) بسبب عدم كفاية عملية تنقية المدخلات وتشفير المخرجات ضمن «إعدادات الألوان العامة لتقدم القراءة» (Reading Progress Global Color Settings). يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» (contributor) أو أعلى حقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها بعد ذلك عندما يزور المستخدم الصفحة المتأثرة. **التوصيات** قم بالتحديث إلى إصدار أحدث من 6.6.11.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات «Essential Addons for Elementor» السابقة للإصدار 6.6.11 **الوصف** يؤدي عدم كفاية التحقق من صحة إعدادات أداة ”تسجيل الدخول/التسجيل“ من جانب الخادم إلى السماح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى ”المساهم“ أو أعلى بتنفيذ ”حقن رأس البريد الإلكتروني“. لا يتم فرض القيود على القيم المسموح بها إلا في واجهة مستخدم المحرر من جانب العميل، وتفشل عملية التنقية في إزالة أو ترميز أحرف ’العودة‘ (CR) و”تغذية السطر“ (LF). وهذا يسمح بحقن تسلسلات CRLF في رؤوس البريد الأولية، مما يمكّن المهاجم من إضافة رأس «نسخة مخفية» (Bcc) إلى رسالة البريد الإلكتروني الخاصة بإشعار إعادة تعيين كلمة مرور مسؤول WordPress. ومن خلال تلقي نسخة من رابط إعادة تعيين كلمة المرور الصالح، يمكن للمهاجم الاستيلاء الكامل على حساب المسؤول. **التوصيات** قم بالتحديث إلى الإصدار 6.6.11 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** قاعدة بيانات Contact Form 7 وWPforms وElementor forms، الإصدارات الأقدم من 1.5.2 **الوصف** توجد مشكلة تتعلق بنسخ ملفات عشوائية في الدالة `create entry el()`. تسترد الدالة القيمة `raw value` من كائن Elementor Pro Form Record للحقول من نوع التحميل، وتمررها إلى دالة PHP `copy()` دون التحقق مما إذا كانت القيمة ملفًا تم تحميله بشكل صحيح. عندما لا يوجد ملف في المصفوفة `$ FILES`، تعكس `raw value` سلسلة POST يتحكم فيها المهاجم. ونظرًا لأن `copy()` تدعم كلاً من مسارات نظام الملفات المحلية وعناوين URL البعيدة، يمكن لمهاجم غير مصدق عليه استهداف أي ملف يمكن لعملية PHP قراءته أو توفير عنوان URL بعيد للكشف عن ملفات عشوائية من الخادم. يُشترط وجود Elementor Pro لتشغيل مسار الكود، لكن الثغرة تكمن في معالج Contact Form Entries. على الرغم من نسخ الملف إلى دليل مشفر، يتم إنشاء اسم الدليل باستخدام `uniqid()` و`rand()`، وهما دالتان غير تشفيريتان ولا توفران حماية موثوقة. **التوصيات** قم بالتحديث إلى إصدار أحدث من 1.5.1. كحل مؤقت، قم بتقييد استخدام الدالة `create entry el()` حتى يتم تطبيق التحديث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات ProfileGrid الأقدم من 5.9.9.3 **الوصف** يحتوي المكون الإضافي ProfileGrid لـ WordPress على ثغرة في البرمجة النصية عبر المواقع المخزنة (Stored Cross-Site Scripting) بسبب عدم كفاية تنقية المدخلات وتهريب المخرجات. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى المشترك أو أعلى حقن نصوص برمجية ويب تعسفية من خلال المعلمة `pm author message` في الدالة `pm send message to author()`. يتم تنفيذ هذه النصوص البرمجية كلما قام مستخدم بالوصول إلى صفحة تم حقن المحتوى فيها. **التوصيات** قم بالتحديث إلى إصدار أحدث من 5.9.9.2. كحل مؤقت، قم بتقييد الوصول إلى الدالة `pm send message to author()` أو قم بتنقية المعلمة `pm author message` لمنع حقن البرامج النصية.