Philipp Doblhofer

The Pricing Table WordPress plugin before 2.1.5 does not validate the scheme of a user-supplied link value in one of its blocks before rendering it, allowing users with contributor-level access and above to store malicious scripts that execute when another user views and interacts with the affected content.

The Donation Thermometer WordPress plugin before 2.3.0 does not escape a colour value taken from a shortcode attribute before using it in an attribute of the generated legend markup, allowing users with the Contributor role and above to inject arbitrary event handlers that execute when the page is viewed.

**اسم البرنامج المصاب والإصدارات المتأثرة** إضافة Post Snippets لـ WordPress الإصدارات السابقة لـ 4.2.5 **الوصف** يؤدي عدم تعقيم قيم المتغيرات المستبدلة في المقتطفات (snippets) بشكل صحيح قبل عرضها إلى السماح للمستخدمين الذين لديهم دور مساهم (Contributor) أو أعلى بحقن نصوص برمجية ويب تعسفية يتم تنفيذها عند عرض المحتوى، وهو ما يعرف بهجوم cross-site scripting (XSS). **التوصيات** تحديث إضافة Post Snippets لـ WordPress إلى الإصدار 4.2.5 أو إصدار أحدث.

**Name of the Vulnerable Software and Affected Versions** BackWPup WordPress plugin versions prior to 5.7.7 **Description** Insufficient restriction of web access to the working directory used during backup restores allows unauthenticated attackers to download the full backup archive. This issue specifically affects webservers that do not honor .htaccess rules, such as NGINX. The archive may contain database dumps and site files, including credentials and secret keys, if a restore process was interrupted. **Recommendations** Update BackWPup WordPress plugin to version 5.7.7 or later.

**Name of the Vulnerable Software and Affected Versions** Relevanssi Premium versions prior to 2.31.5 **Description** Stored Cross-Site Scripting occurs due to insufficient input sanitization and output escaping. Unauthenticated attackers can inject arbitrary web scripts into pages that execute when a user accesses them. This issue requires the click-tracking and logging feature to be enabled in the plugin settings. Exploitation is facilitated because a valid ` rt nonce` is publicly emitted on every search-results page. The attack targets the ` rt` parameter. **Recommendations** Update Relevanssi Premium to version 2.31.5 or later. As a temporary mitigation, disable the click-tracking and logging feature in the plugin settings.

**Name of the Vulnerable Software and Affected Versions** Audio Player Block versions prior to 1.6.3 **Description** Insufficient validation of the scheme in user-supplied URLs used as link targets allows users with the Contributor role and above to perform a stored cross-site scripting attack. This occurs when malicious JavaScript is stored and subsequently executed in the session of any user who triggers the link, such as an administrator or editor reviewing a post. **Recommendations** Update Audio Player Block to version 1.6.3 or later.

**Name of the Vulnerable Software and Affected Versions** WPeMatico RSS Feed Fetcher versions prior to 2.8.27 **Description** The plugin fails to sanitize imported feed content before it is stored as post content. This allows users with the Contributor role or higher to execute Stored Cross-Site Scripting (XSS) attacks, which occur when a malicious script is permanently stored on the target server and served to other users. **Recommendations** Update WPeMatico RSS Feed Fetcher to version 2.8.27 or later.

**Name of the Vulnerable Software and Affected Versions** WP Delicious WordPress plugin versions prior to 1.10.8 **Description** Insufficient validation and escaping of HTML tag names derived from user-supplied recipe block data allows users with the Contributor role and above to inject arbitrary HTML tags, including script tags. These tags execute when the recipe page is viewed on the front end. **Recommendations** Update WP Delicious WordPress plugin to version 1.10.8 or later.

**Name of the Vulnerable Software and Affected Versions** Bookit — Booking & Appointment Calendar WordPress plugin versions prior to 2.6.0.1 **Description** An issue exists where the plugin does not properly restrict the data returned by an availability-check request. This allows unauthenticated users to retrieve sensitive appointment details of other customers, including contact information and free-text booking comments. **Recommendations** Update Bookit — Booking & Appointment Calendar WordPress plugin to version 2.6.0.1 or later.

The MultiVendorX WordPress plugin before 5.0.16 does not restrict who can update its role and capability settings, allowing users holding its vendor role to grant that role administrator-level capabilities and take over the site.

The CoolClock WordPress plugin before 4.3.8 does not properly escape a custom skin setting before outputting it inside an inline script, allowing users with contributor-level access and above to inject arbitrary JavaScript that executes when the content is viewed.

The CoolClock WordPress plugin before 4.3.8 does not properly escape a skin setting before outputting it within an HTML attribute, allowing users with contributor-level access and above to inject arbitrary web scripts that execute when the content is viewed.

**Name of the Vulnerable Software and Affected Versions** Loops & Logic WordPress plugin versions prior to 4.3.0 **Description** The plugin fails to restrict the public `template-data` action to authorized data. This allows unauthenticated users to read arbitrary site options and user records, including roles and email addresses. **Recommendations** Update the plugin to version 4.3.0 or later.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** EventPrime – تقويم الأحداث والحجوزات والتذاكر، الإصدارات الأقدم من 4.3.4.3 **الوصف** تحدث ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) بسبب عدم كفاية عملية تنقية المدخلات وتصفية المخرجات. وهذا يسمح للمهاجمين بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي يتم تنفيذها عند وصول مستخدمين آخرين إليها. يتم تشغيل هذه المشكلة عبر المعلمة `new event type background color`. إذا تم تمكين إعداد «إرسالات الضيوف» `allow submission by anonymous user`، فيمكن للمهاجمين غير المصادق عليهم إرسال أنواع الأحداث عبر النموذج الأمامي. بخلاف ذلك، يتطلب الاستغلال حسابًا مصادقًا عليه على الأقل بمستوى المشترك. **التوصيات** قم بتحديث EventPrime – Events Calendar, Bookings and Tickets إلى الإصدار 4.3.4.3 أو أحدث. قم بتعطيل الإعداد `allow submission by anonymous user` لمنع الاستغلال من قبل مستخدمين غير مصادق عليهم.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** كتلة قسم الخدمات – عرض تفاصيل الخدمة في شكل شبكة أو أعمدة، الإصدارات الأقدم من 1.4.5 **الوصف** يؤدي عدم كفاية تنقية المدخلات وتهريب المخرجات إلى السماح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المساهم أو أعلى بتنفيذ هجمات البرمجة النصية عبر المواقع المخزنة (Stored Cross-Site Scripting). ويتم ذلك عبر سمة الكتلة `link`، حيث يمكن حقن نصوص برمجية ويب تعسفية في الصفحات. تستمر الحمولة داخل تعليقات HTML في `post content`، متجاوزةً وظيفة التنقية `wp kses post()` أثناء عملية الحفظ. يتم تنفيذ البرنامج النصي من خلال رابط الخدمة الأساسي أو رابط ثانوي محاط بالعنوان عندما يتم تعيين الخيار `linkIn` على `title`. **التوصيات** قم بالتحديث إلى إصدار أحدث من 1.4.4.