Seongwon Lee

The Moloni WordPress plugin before 5.0.14 does not perform capability or nonce checks on several of its authenticated AJAX actions, relying only on whether the site holds a stored connection to its external invoicing provider, allowing any authenticated user such as a Subscriber to generate fiscal invoices for arbitrary orders, discard arbitrary orders, and create or modify products and stock.

The Falang multilanguage for WordPress plugin before 1.4.6 does not perform a capability check when saving term translations, and exposes a valid nonce to any logged-in user through an unprotected handler, allowing users with Subscriber-level access and above to store content that is later output without proper escaping, leading to Stored Cross-Site Scripting that executes in the context of higher-privileged users such as administrators.

**اسم البرنامج المصاب والإصدارات المتأثرة** Ukr-To-Lat الإصدارات السابقة لـ 1.3.6 **الوصف** يمكن للمستخدمين الذين لديهم صلاحيات وصول بمستوى مساهم (Contributor) أو أعلى تنفيذ هجمات حقن SQL لأن المكون الإضافي يفشل في تنقية وتعقيم اسم المصطلح قبل استخدامه في استعلام SQL. **التوصيات** تحديث Ukr-To-Lat إلى الإصدار 1.3.6 أو إصدار أحدث.

**Name of the Vulnerable Software and Affected Versions** Animated Number Counters WordPress plugin versions prior to 3.1 **Description** An issue exists where a value stored by a user with Editor-level privileges is not properly sanitized or escaped before being concatenated into a SQL query. This query executes when an unauthenticated visitor renders a page containing the counter, resulting in a second-order SQL injection. This allows an attacker to read arbitrary data from the database, including password hashes. **Recommendations** Update the Animated Number Counters WordPress plugin to version 3.1 or later.

**Name of the Vulnerable Software and Affected Versions** Slider Pro versions prior to 1.0.1 **Description** The Slider Pro WordPress plugin fails to perform capability or authorization checks on an AJAX action. This allows unauthenticated users to retrieve sensitive information from non-public posts, including drafts, pending, scheduled, private, and trashed posts, as well as post revisions and media metadata. The issue is associated with the `sliderpro multiple images` action. **Recommendations** Update Slider Pro to a version newer than 1.0.0. As a temporary mitigation, restrict access to the `sliderpro multiple images` AJAX action.

**Name of the Vulnerable Software and Affected Versions** Premmerce Wishlist for WooCommerce versions prior to 1.1.14 **Description** An unauthenticated Cross Site Scripting (XSS) issue exists, which allows an attacker to execute malicious scripts in the browser of a user without requiring prior authentication. **Recommendations** Update Premmerce Wishlist for WooCommerce to version 1.1.14 or later.

**Name of the Vulnerable Software and Affected Versions** YITH WooCommerce Tab Manager versions prior to 2.15.1 **Description** An Author Cross Site Scripting (XSS) issue exists, which allows a user with author privileges to inject malicious scripts into the web pages viewed by other users. **Recommendations** Update YITH WooCommerce Tab Manager to version 2.15.1 or later.

**Name of the Vulnerable Software and Affected Versions** Filter Gallery versions prior to 1.1.5 **Description** The plugin fails to verify the nonce (a unique token used to prevent cross-site request forgery) on several AJAX handlers when the nonce field is omitted. Additionally, it lacks capability checks, which allows low-privileged users to overwrite the content of arbitrary posts and delete stored gallery options. **Recommendations** Update to version 1.1.5 or later.

**Name of the Vulnerable Software and Affected Versions** WPBot versions prior to 8.6.0 **Description** The plugin fails to perform capability or nonce checks on the AJAX action used to list stored chat sessions. A nonce is a unique token used to prevent replay attacks by ensuring that a request is intentional and comes from a trusted source. This flaw allows unauthenticated attackers to retrieve personally identifiable information, including the name, email address, and phone number of all chat visitors, by requesting a wide date range. **Recommendations** Update WPBot to version 8.6.0 or later.

The Notiqoo WordPress plugin before 1.4.14 does not have capability checks on several of its AJAX actions and builds the name of the option to write from user input, allowing users with a role as low as contributor to modify arbitrary WordPress options, which can be used to deactivate Notiqoo WordPress plugin before 1.4.14 and to lock every administrator out of the site.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إضافات الرسوم المتحركة لـ Elementor (Animation Addons for Elementor) للإصدارات الأقدم من 2.7.2 **الوصف** يؤدي عدم كفاية التحقق من صحة القيم التي يدخلها المستخدم إلى السماح للمستخدمين غير المصادق عليهم بالتلاعب بمضيف طلب HTTP من جانب الخادم. وهذا يمكّن الموقع من إرسال طلبات إلى مضيفات داخلية وقراءة الردود، وهو سلوك يُعرف باسم تزوير الطلبات من جانب الخادم (SSRF)، حيث يحث المهاجم الخادم على إرسال طلبات إلى موقع غير مقصود. **التوصيات** تحديث ملحقات الرسوم المتحركة لـ Elementor إلى الإصدار 2.7.2 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات المكون الإضافي ECS لـ WordPress الأقدم من 4.3.8 **الوصف** تسمح عمليات التحقق غير الكافية من الصلاحيات والملكية في إجراءات المكرر الديناميكي للمستخدمين الذين يمتلكون حسابات بمستوى «مساهم» أو أعلى بقراءة وتعديل وحذف التكوين المرتبط بالمشاركات التي لا يمتلكونها. بالإضافة إلى ذلك، يمكن لهؤلاء المستخدمين تغيير الإعدادات المسبقة على مستوى الموقع بأكمله. يعتمد النظام حصريًا على رقم عشوائي (nonce)، والذي يمكن لأي مستخدم قادر على فتح أداة إنشاء الصفحات الوصول إليه. **التوصيات** تحديث المكون الإضافي ECS WordPress إلى الإصدار 4.3.8 أو أحدث.