Lhking

The Tutor LMS – eLearning and online course solution plugin for WordPress is vulnerable to Stored Cross-Site Scripting via display name Parameter in all versions up to, and including, 4.1.0 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Exploitation requires that a Legal Consent record exists for the attacker's user account, causing the View Logs button to appear in the wp-admin/users.php Consent Logs column.

**Name of the Vulnerable Software and Affected Versions** Aurora Heatmap versions prior to 1.7.3 **Description** Insufficient input sanitization and output escaping allow unauthenticated attackers to perform Stored Cross-Site Scripting (XSS), a technique where malicious scripts are permanently stored on the target server. By manipulating the `url` parameter, an attacker can inject arbitrary web scripts into pages that execute when an administrator clicks the injected heatmap link. **Recommendations** Update Aurora Heatmap to a version newer than 1.7.2. Avoid using the `url` parameter in the plugin until the update is applied.

**Name of the Vulnerable Software and Affected Versions** The Smart Manager – Advanced WooCommerce Bulk Edit & Inventory Management versions prior to 8.97.1 **Description** An issue exists where authenticated attackers with subscriber-level access and above can perform a generic SQL Injection. This occurs due to insufficient escaping of the user-supplied `access privileges` parameter and a lack of sufficient preparation of the SQL query. The flaw allows attackers to append additional SQL queries to extract sensitive information from the database. This is possible on installations where an administrator has saved a role-based deny-list Access Privilege configuration that does not explicitly block the internal `access-privilege` module, allowing the authorization filter to implicitly permit Subscriber-level users to invoke the vulnerable handler. **Recommendations** Update the plugin to a version newer than 8.97.0. Restrict access to the `access privileges` parameter to minimize the risk of exploitation.

**Name of the Vulnerable Software and Affected Versions** Autoptimize versions prior to 3.1.15.2 **Description** Stored Cross-Site Scripting occurs due to insufficient input sanitization and output escaping. Unauthenticated attackers can inject arbitrary web scripts into pages that execute when a user accesses them. This issue is triggered via the `REQUEST URI` path through the `ao ccss enqueue()` function. Exploitation requires the Critical CSS feature to be active and a valid API key to be configured, allowing unauthenticated frontend requests to create queue entries. **Recommendations** Update to version 3.1.15.2 or later. As a temporary mitigation, disable the Critical CSS feature until the update is applied.

**Name of the Vulnerable Software and Affected Versions** The Form Maker by 10Web – Mobile-Friendly Drag & Drop Contact Form Builder versions prior to 1.15.48 **Description** Insufficient input sanitization and output escaping allow unauthenticated attackers to perform Stored Cross-Site Scripting (XSS). This occurs through the Mark on Map Longitude and Latitude fields, enabling the injection of arbitrary web scripts that execute when a user accesses the affected page. **Recommendations** Update the plugin to version 1.15.48 or later.

**Name of the Vulnerable Software and Affected Versions** WP Maps – Google Maps,OpenStreetMap,Mapbox,Store Locator,Listing,Directory & Filters versions prior to 4.9.9 **Description** Local File Inclusion occurs via the `page` parameter. Authenticated attackers with subscriber-level access or higher can include and execute arbitrary .php files on the server. This allows for the execution of PHP code contained within those files, which can be used to bypass access controls, obtain sensitive data, or achieve remote code execution if .php files can be uploaded to the server. **Recommendations** Update the plugin to version 4.9.9 or later. Avoid using the `page` parameter in the affected plugin until the update is applied.

**Name of the Vulnerable Software and Affected Versions** WPC Product Bundles for WooCommerce versions prior to 8.6.7 **Description** Stored Cross-Site Scripting occurs due to insufficient input sanitization and output escaping. Unauthenticated attackers can inject arbitrary web scripts into pages that execute when a user accesses them. The issue arises because a float cast used during quantity validation allows payloads with numeric prefixes, such as `1<img src=x onerror=...>`, to bypass validation. This malicious HTML is then stored in the order item metadata under the ` woosb ids` key via the `qty` parameter. **Recommendations** Update WPC Product Bundles for WooCommerce to version 8.6.7 or later. Avoid using the `qty` parameter in a way that allows unvalidated input until the update is applied.

**Name of the Vulnerable Software and Affected Versions** Consulting theme for WordPress versions prior to 6.7.17 **Description** Authenticated attackers with subscriber-level access or higher can achieve full privilege escalation to administrator. This occurs due to two combined flaws: the 'masterstudy ms stm set discard transient' AJAX endpoint in admin/admin-notices/classes/STMHandler.php accepts an arbitrary transient key without capability checks or nonce validation, and the developer access login mechanism in admin/classes/stm-theme-support.php authenticates users based on a transient value without proper cryptographic validation when in legacy string mode. An attacker can set the `stm developer access token` transient to a known value and then authenticate as any existing user, including administrators, by visiting a specially crafted URL. **Recommendations** Update the Consulting theme for WordPress to a version newer than 6.7.16.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** GTM4WP – مكون إضافي لـ Google Tag Manager (GTM) مخصص لإصدارات WordPress الأقدم من 1.22.4 **الوصف** تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) بسبب عدم كفاية عملية تنقية المدخلات وتشفير المخرجات. يمكن للمهاجمين غير المصادق عليهم حقن نصوص برمجية ويب عشوائية في الصفحات عن طريق إجراء طلب شراء كضيف مع حمولة JavaScript في حقل الفوترة في WooCommerce، مثل الاسم الأول للفوترة. تتطلب هذه المشكلة تمكين خيار تكامل بيانات الطلبات في WooCommerce `GTM4WP OPTION INTEGRATE WCORDERDATA`. يتم تنفيذ النصوص البرمجية المحقونة كلما قام مستخدم بالوصول إلى الصفحة المتأثرة. **التوصيات** قم بالتحديث إلى إصدار أحدث من 1.22.3. قم بتعطيل الخيار `GTM4WP OPTION INTEGRATE WCORDERDATA` كإجراء تخفيفي مؤقت.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات WPForms Pro الأقدم من 1.10.1.2 **الوصف** توجد مشكلة تتعلق بتحميل ملفات عشوائية في الدالة `ajax chunk upload finalize()`. تحدث هذه الثغرة لأن عملية التحقق من صحة نوع الملف تتم بعد كتابة بيانات تعريف الأجزاء ومحتويات الملف على القرص، ولا يتم حذف الملف المُجمَّع في حالة فشل عملية التحقق. وهذا يسمح للمهاجمين غير المصادق عليهم بتحميل ملفات قابلة للتنفيذ، مما قد يؤدي إلى تنفيذ التعليمات البرمجية عن بُعد. **التوصيات** قم بتحديث WPForms Pro إلى الإصدار 1.10.1.2 أو أحدث. كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى الدالة `ajax chunk upload finalize()`.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** SAML Single Sign On – SSO Login plugin for WordPress، الإصدارات الأقدم من 5.4.4 **الوصف** يوجد ثغرة في المصادقة ناتجة عن خلط خوارزمية توقيع SAML. تحدث المشكلة لأن الدالة `Mo SAML Utilities::mo saml cast key()` تقرأ السمة `SignatureMethod` مباشرةً من المعلمة `SAMLResponse` التي يتحكم فيها المهاجم، بدلاً من تطبيق الخوارزمية المُعدة محليًّا. وهذا يسمح للمكوّن الإضافي بتفسير المفتاح العام RSA لمزود الهوية على أنه سر مشترك HMAC-SHA1 للتحقق من صحة توقيع مزور. ونتيجة لذلك، يمكن للمهاجمين غير المصادق عليهم تزوير تأكيدات SAML لأي حساب، بما في ذلك حسابات المسؤولين، للحصول على ملفات تعريف الارتباط الخاصة بالمصادقة والسيطرة الكاملة على الحساب. **التوصيات** قم بتحديث المكون الإضافي إلى إصدار أحدث من 5.4.3.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** TinyPNG – مكون إضافي لضغط صور JPEG و PNG و WebP لإصدارات WordPress السابقة للإصدار 3.6.14 **الوصف** يؤدي عدم كفاية التحقق من صحة مسار الملف في الدالة `delete converted image size()` إلى تمكين المهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المؤلف» أو أعلى من حذف ملفات عشوائية على الخادم. ويمكن تحقيق ذلك عن طريق إدخال مسار ملف على الخادم في حقل `convert.path` الخاص ببيانات تعريف المنشور `tiny compress images` في مرفق يملكه المهاجم، ثم تشغيل عملية حذف المرفق. وقد يؤدي حذف الملفات الحيوية، مثل ملف `wp-config.php`، إلى تنفيذ تعليمات برمجية عن بُعد. **التوصيات** تحديث المكون الإضافي إلى الإصدار 3.6.14 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Page Builder من SiteOrigin الأقدم من 2.34.4 **الوصف** تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) بسبب عدم كفاية عملية تنقية المدخلات وتشفير المخرجات. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى ”المساهم“ (Contributor) أو أعلى حقن نصوص برمجية ويب تعسفية في الصفحات. يحدث هذا لأن المعلمة `panels data` يتم تخزينها كبيانات تعريفية للمنشور (post meta)، متجاوزةً آلية `wp kses` الاحتياطية — وهي وظيفة في WordPress تُستخدم لتصفية HTML — مما يسمح بعرض محتوى `WP Widget Custom HTML` غير المُعقّم على الواجهة الأمامية عندما يصل المستخدم إلى الصفحة المتأثرة. **التوصيات** قم بتحديث Page Builder by SiteOrigin إلى الإصدار 2.34.4 أو أحدث. كإجراء تخفيفي مؤقت، قم بتقييد المعلمة `panels data` أو حدّ من أذونات المستخدمين لمنع المستخدمين من مستوى «المساهم» من تحرير الصفحات.