Rafie Muhammad

**Name of the Vulnerable Software and Affected Versions** Visitors Traffic Real Time Statistics Pro versions prior to 11.23 **Description** Unauthenticated stored Cross-Site Scripting (XSS) occurs when the plugin fails to sanitize the `page title` parameter within the `ahcpro track visitor` AJAX action. This action is accessible to logged-out users via `wp ajax nopriv ahcpro track visitor`, allowing raw input to be stored in the database. When an administrator accesses the plugin dashboard, the 'Traffic by Title' DataTable renders this stored value as innerHTML without output escaping, which enables the execution of arbitrary JavaScript within the administrator's session. **Recommendations** Update to a version newer than 11.22. As a temporary workaround, restrict access to the `ahcpro track visitor` AJAX action to prevent unauthenticated users from submitting data via the `page title` parameter.

**Name of the Vulnerable Software and Affected Versions** JetAppointment versions prior to 2.5.2.2 **Description** Insufficient input sanitization and output escaping allow unauthenticated attackers to perform Stored Cross-Site Scripting (XSS), a technique where malicious scripts are permanently stored on the target server. The issue occurs via the `friendlyTime` parameter at the `jet engine form booking submit` endpoint. The injected payload is stored in the `wp jet appointments meta` table and executes in the administrator's browser when the appointment details popup is opened within the WordPress admin panel. **Recommendations** Update to a version newer than 2.5.2.1. Avoid using the `friendlyTime` parameter in the `jet engine form booking submit` endpoint until the update is applied.

Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Kreatura LayerSlider allows Reflected XSS. This issue affects LayerSlider: from n/a through 8.4.0.

**Name of the Vulnerable Software and Affected Versions** ConvertPlus versions prior to 3.6.4 **Description** The plugin is susceptible to deserialization of untrusted data through the `style` parameter of the `cp display preview modal` AJAX action. The issue occurs because the nonce guard is bypassed when the `cp admin page nonce` parameter is omitted, and no capability check is performed on the callback. Additionally, the `sanitize text field()` function fails to strip shortcode delimiters from the `$style` value before it is processed by `do shortcode()`. This allows authenticated attackers with Subscriber-level access or higher to inject a `[smile modal]` invocation, leading the `smile modal popup()` function to pass base64-decoded bytes to `maybe unserialize()` without `allowed classes` restrictions. This enables the injection of PHP objects. While no POP chain (a sequence of gadgets used to execute arbitrary code during deserialization) is present in the software itself, the presence of a POP chain in another installed plugin or theme could allow attackers to delete arbitrary files, retrieve sensitive data, or execute code. **Recommendations** Update the plugin to a version newer than 3.6.3. As a temporary mitigation, restrict access to the `cp display preview modal` AJAX action or avoid using the `style` parameter until the update is applied.

**Name of the Vulnerable Software and Affected Versions** WP Multi Store Locator Pro versions prior to 4.5.2 **Description** An issue exists where unauthenticated attackers can perform SQL Injection by appending additional queries to existing ones to extract sensitive database information. This occurs because the `store locatore search radius` parameter is not sufficiently escaped or prepared before being used in a SQL query. The flaw is located within a numeric, unquoted SQL context, which bypasses the `wp magic quotes()` protection. Additionally, the AJAX handler `wp ajax nopriv make search request` lacks nonce or capability checks, allowing the endpoint to be accessed without authentication. **Recommendations** Update to a version newer than 4.5.1. As a temporary mitigation, restrict access to the `wp ajax nopriv make search request` handler or avoid using the `store locatore search radius` parameter.

**Name of the Vulnerable Software and Affected Versions** WordPress versions 4.7 through 7.1 **Description** An unauthenticated stored cross-site scripting (XSS) issue, dubbed Comment2Shell, exists in the WordPress core. The flaw occurs in the `wpautop()` function, which converts line breaks into paragraphs. An attacker can submit a crafted comment containing a line break within the `cite` attribute of a `blockquote` tag. While this input passes the `wp kses()` filter, a subsequent reformatting step during page display uses an incorrect regular expression that inserts a paragraph tag inside the quote, transforming the text into an active `onfocus` event handler triggered by an `autofocus` script. This XSS executes automatically upon page load without user interaction. If a logged-in administrator views the affected page, the script can abuse the administrator's session to read a plugin installer nonce and upload a malicious PHP plugin, resulting in remote code execution (RCE) on the server. There is currently no evidence of real-world exploitation. **Recommendations** Update WordPress to version 7.1.1 or the corresponding patched version for the specific branch (e.g., 4.7.36). Disable comments site-wide as a temporary mitigation. Enforce strict Content Security Policy (CSP) headers to block inline scripts. Ensure administrator users do not browse the front-end of the site while logged in.

**Name of the Vulnerable Software and Affected Versions** MyHome Core versions prior to 4.4.6 **Description** An authentication bypass exists in the MyHome Core plugin for WordPress. The issue stems from missing authorization in the `send link()` AJAX handler and improper token validation within the `activate()` function. These flaws allow an unauthenticated attacker to generate an activation token for an unconfirmed user account and obtain a valid authentication cookie, potentially granting administrative access. Exploitation is possible when the MyHome theme is configured in legacy/WPBakery mode with frontend registration and confirmation emails enabled, provided the target account does not have the `myhome agent confirmed` user meta set. **Recommendations** Update MyHome Core to a version newer than 4.4.5. As a temporary mitigation, disable frontend registration. Restrict access to the `send link()` AJAX handler and the `activate()` function until the update is applied.

**Name of the Vulnerable Software and Affected Versions** All-in-One WP Migration Unlimited Extension versions prior to 2.85 **Description** Stored Cross-Site Scripting occurs due to insufficient input sanitization and output escaping on user-supplied attributes, combined with missing authorization checks in the `settings()` function. Authenticated attackers with Subscriber-level access or higher can inject arbitrary web scripts via the `ai1wm backups path` parameter. These scripts execute when an administrator accesses the plugin settings page. **Recommendations** Update All-in-One WP Migration Unlimited Extension to version 2.85 or later.

**Name of the Vulnerable Software and Affected Versions** Classified Listing - Mobile Number Verification versions prior to 1.6.1 **Description** An authentication bypass exists due to missing server-side Firebase OTP validation within the `process otp login()` function. This allows unauthenticated attackers to authenticate as any user registered in the plugin's phone table by submitting an arbitrary OTP code and `UID` through the Firebase OTP login flow. Exploitation is possible if OTP login is enabled with Firebase as the verification gateway and the attacker knows or guesses the target account's registered phone number. This can lead to the takeover of administrator accounts if they have a registered phone number. **Recommendations** Update to a version newer than 1.6.0. As a temporary mitigation, disable OTP login or switch the verification gateway from Firebase to another provider.

**Name of the Vulnerable Software and Affected Versions** Formidable Charts versions prior to 2.0.2 **Description** An issue exists that allows unauthenticated attackers to perform Directory Traversal, a method used to access files and directories that are stored outside the web root folder. By manipulating the `frm graph` parameter, an attacker can read arbitrary files on the server, potentially exposing sensitive information. This requires Formidable Forms Lite, Formidable Forms Pro, and Formidable Charts to be active, and the `wp-content/uploads/frm-charts/` directory must exist, which typically occurs after an image-format chart is rendered. **Recommendations** Update to version 2.0.2 or later. Restrict access to the `frm graph` parameter to minimize the risk of exploitation.

**Name of the Vulnerable Software and Affected Versions** Formidable Digital Signatures versions prior to 3.0.7 **Description** Insufficient file path validation in the `delete file()` function allows unauthenticated attackers to delete files on the server. This occurs during the standard entry-creation POST flow on forms that accept anonymous submissions by providing a controlled filename in the `item meta[field id][content]` parameter and the `delete saved image` flag. **Recommendations** Update Formidable Digital Signatures to version 3.0.7 or later.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** WooCommerce - Social Login، الإصدارات الأقدم من 2.8.8 **الوصف** يوجد ثغرة في معالج تسجيل الدخول عبر Apple تسمح بتجاوز المصادقة. تحدث هذه المشكلة لأن المكون الإضافي يقبل رمز `id token` الخاص بـ Apple ويقوم بفك تشفير حمولته base64 فقط دون التحقق من توقيع JSON Web Token (JWT) مقابل المفاتيح العامة لـ Apple أو التحقق من صحة المطالبات المتعلقة بالمُصدر أو الجمهور أو تاريخ انتهاء الصلاحية. بالإضافة إلى ذلك، يتم الكشف عن الرقم العشوائي الأمني (nonce) المطلوب لبدء عملية تسجيل الدخول بشكل علني للمستخدمين غير المصادق عليهم عبر كائن JavaScript مُترجم في صفحة تسجيل الدخول. وهذا يسمح للمهاجمين غير المصادق عليهم بالوصول إلى أي حساب WordPress موجود، بما في ذلك حسابات المسؤولين، عن طريق تقديم `id token` مزور يحتوي على عنوان البريد الإلكتروني للمستخدم المستهدف، والذي يُستخدم بعد ذلك لإصدار جلسة عمل مصادق عليها دون استبعاد الأدوار. **التوصيات** قم بالتحديث إلى إصدار أحدث من 2.8.7.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات WP Foodbakery السابقة للإصدار 4.10 **الوصف** يحتوي المكون الإضافي WP Foodbakery الخاص بـ WordPress على ثغرة تسمح للمستخدمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المشترك أو أعلى بحذف ملفات عشوائية على الخادم. يحدث هذا بسبب عدم كفاية التحقق من صحة مسار الملف داخل الدالة `delete locations backup file callback()`، وتحديدًا عند معالجة إجراء AJAX `delete locations backup file`. قد يؤدي حذف الملفات الهامة، مثل `wp-config.php`، إلى تنفيذ التعليمات البرمجية عن بُعد. **التوصيات** قم بتحديث المكون الإضافي إلى إصدار أحدث من 4.9. كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى الدالة `delete locations backup file callback()` للمستخدمين الذين يتمتعون بأذونات على مستوى المشترك.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Eventer الأقدم من 4.4.3 **الوصف** يستخدم المكون الإضافي آلية غير آمنة لإعادة تعيين كلمة المرور. عند طلب إعادة تعيين كلمة المرور، يتم تخزين نسخة من مفتاح إعادة التعيين بنص عادي في حقل بيانات المستخدم `eventer verification code` داخل جدول `wp usermeta`. يمكن للمهاجم الذي يحصل على هذا المفتاح النصي العادي استخدام إجراء إعادة التعيين المخصص للمكوّن الإضافي لتغيير كلمة مرور أي حساب مستخدم، بما في ذلك الحسابات التي تتمتع بامتيازات المسؤول. وتزداد خطورة هذه المشكلة بشكل خاص عند اقترانها بثغرات أخرى تسمح باستخراج البيانات من قاعدة البيانات. ولا تعمل وظيفة إعادة تعيين كلمة المرور إلا على إصدارات PHP حتى الإصدار 7.4. **التوصيات** تحديث المكوّن الإضافي إلى إصدار أحدث من 4.4.2. تقييد الوصول إلى حقل بيانات المستخدم `eventer verification code` لمنع الاستخراج غير المصرح به لمفاتيح إعادة التعيين.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Eventer الأقدم من 4.4.3 **الوصف** يحتوي المكون الإضافي Eventer الخاص بـ WordPress على ثغرة حقن SQL تعتمد على الوقت. وتحدث هذه الثغرة لأن المكون الإضافي يفشل في إجراء عملية «إسكيب» (escape) بشكل صحيح للمعلمة `code`، كما أنه لا يقوم بإعداد استعلام SQL بشكل كافٍ. يمكن للمهاجمين غير المصادق عليهم استغلال هذه الثغرة عن طريق إضافة استعلامات SQL إضافية إلى الاستعلامات الموجودة، مما يسمح باستخراج المعلومات الحساسة من قاعدة البيانات. **التوصيات** قم بتحديث المكون الإضافي إلى إصدار أحدث من 4.4.2. كإجراء تخفيفي مؤقت، قم بتقييد الوصول إلى الوظائف التي تستخدم المعلمة `code`.

**اسم البرنامج المعرض للثغرة والإصدارات المتأثرة** إصدارات Shopify السابقة للإصدار 1.0.1 **الوصف** يسمح المكون الإضافي Shopify الخاص بـ WordPress للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» أو أعلى بتنفيذ عملية «تضمين الملفات المحلية» (LFI)، وهي عملية يتم من خلالها خداع التطبيق لتضمين ملفات من نظام الملفات المحلي. وهذا يسمح بتضمين وتنفيذ ملفات عشوائية على الخادم، مما يتيح تنفيذ كود PHP الموجود داخل تلك الملفات. يمكن استغلال هذا الخلل لتجاوز ضوابط الوصول أو الحصول على بيانات حساسة، خاصةً عند تحميل صور أو أنواع ملفات آمنة أخرى ثم تضمينها لاحقًا. **التوصيات** قم بالتحديث إلى إصدار أحدث من 1.0.0.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Motors الأقدم من 5.6.81 **الوصف** توجد ثغرة في التحكم في الوصول دون مصادقة، مما يسمح للمستخدمين غير المصرح لهم بتجاوز قيود الوصول. **التوصيات** التحديث إلى إصدار أحدث من 5.6.80.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات JetEngine الأقدم من 3.8.10.3 **الوصف** يحتوي المكون الإضافي JetEngine الخاص بـ WordPress على ثغرة أمنية، حيث يؤدي عدم إجراء عملية «إسكاب» كافية للمعلمات التي يزودها المستخدم، بالإضافة إلى عدم إعداد استعلامات SQL بشكل سليم، إلى السماح لمهاجمين غير مصادقين بإلحاق استعلامات SQL إضافية. ويمكن استغلال هذه الثغرة لاستخراج معلومات حساسة من قاعدة البيانات. **التوصيات** قم بتحديث JetEngine إلى إصدار أحدث من 3.8.10.2.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات MasterStudy LMS Pro Plus الأقدم من 4.8.21 **الوصف** يحتوي المكون الإضافي MasterStudy LMS Pro Plus الخاص بـ WordPress على ثغرة عامة تتعلق بحقن SQL. تحدث هذه المشكلة بسبب عدم إجراء الهروب الصحيح للمعلمة `columns` وعدم إعداد استعلام SQL بشكل كافٍ. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المدرب أو أعلى إضافة استعلامات SQL إضافية إلى الاستعلامات الموجودة لاستخراج معلومات حساسة من قاعدة البيانات. **التوصيات** قم بتحديث المكون الإضافي إلى إصدار أحدث من 4.8.20. كحل مؤقت، قم بتقييد الوصول إلى المعلمة `columns` لتقليل مخاطر الاستغلال إلى أدنى حد.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** Kirki – أداة إنشاء الصفحات الحرة، وأداة إنشاء المواقع الإلكترونية، وأداة التخصيص، الإصدارات الأقدم من 6.0.7 **الوصف** يؤدي عدم كفاية التحقق من صحة مسار الملف وغياب فحص الصلاحيات في الدالة `downloadZIP()` إلى السماح للمهاجمين غير المصادق عليهم بقراءة وحذف ملفات عشوائية. يقتصر هذا الإجراء على الدليل الأساسي لملفات التحميل في WordPress. **التوصيات** قم بالتحديث إلى إصدار أحدث من 6.0.6. كحل مؤقت، يُنصح بتعطيل الدالة `downloadZIP()` حتى يتم تطبيق التحديث.