Thevietronin

The InstaWP Connect – 1-click WP Staging & Migration plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 0.1.4.1 This is due to the plugin registering its admin page via `add management page()` using a role name returned by `InstaWP Setting::get allowed role()` as the required capability — which WordPress resolves as a real capability match for any user holding that role — combined with `generate section field()` rendering the master API key from the `instawp api options` option directly as the `value` attribute of a plain-text HTML input with no additional `manage options` or equivalent capability check. This makes it possible for authenticated attackers with Subscriber-level access and above to read the plaintext master API key, use its SHA-256-derived secret as a bearer token accepted by the plugin's REST API `validate api request()`, and call `POST /wp-json/instawp-connect/v2/auto-login` to mint a 30-second single-use login URL that sets an administrator authentication cookie — fully escalating their privileges. Exploitation requires the site to be actively connected to InstaWP and an administrator to have added the attacker's role to the plugin's Sync Tab Access list (`instawp sync tab roles`); notably, the settings tab suppression logic only hides the tab when `administrator` is absent from the list entirely, meaning a mixed configuration retaining administrator alongside a lower role still serves the full settings page — including the API key — to the lower-privileged user.

The Premium Packages – Sell Digital Products Securely plugin for WordPress is vulnerable to Unauthenticated Stored Cross-Site Scripting via 'order email' in all versions up to, and including, 7.0.5 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

The Groundhogg — CRM, Newsletters, and Marketing Automation plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'ref' parameter in all versions up to, and including, 4.5.14 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

The Smart Forms – when you need more than just a contact form plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'formString' parameter in all versions up to, and including, 2.6.104 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The nonce check protecting the rednao smart forms save form values AJAX handler is only enforced when the smart forms block anonymous submissions option is enabled, meaning default installations require no authentication or nonce verification whatsoever to submit and store malicious payloads.

**Name of the Vulnerable Software and Affected Versions** Ultimate Member – User Profile, Registration, Login, Member Directory, Content Restriction & Membership Plugin versions prior to 2.13.2 **Description** Insufficient input sanitization and output escaping allow unauthenticated attackers to perform Stored Cross-Site Scripting (XSS), a technique where malicious scripts are permanently stored on the target server. The issue occurs via the `form id` parameter. The malicious payload is stored in the registering user's `submitted` usermeta through the `update user meta()` function. The script executes when an administrator views the affected user record in the wp-admin Users modal, which inserts the unescaped output using the jQuery `.html()` method. **Recommendations** Update the plugin to version 2.13.2 or later.

**Name of the Vulnerable Software and Affected Versions** Themify Builder versions prior to 7.8.2 **Description** The plugin is subject to Stored Cross-Site Scripting (XSS), a flaw where malicious scripts are permanently stored on the target server. This occurs due to insufficient input sanitization and output escaping via the `css[fonts]` parameter. Unauthenticated attackers can inject arbitrary web scripts into pages that execute when a user accesses them. The security nonce required to reach the vulnerable endpoint is visible in the front-end page markup, effectively reducing the security barrier to a CSRF token and allowing full exploitation by unauthenticated users. **Recommendations** Update the plugin to version 7.8.2 or later.

**Name of the Vulnerable Software and Affected Versions** WP-Lister Lite for eBay versions prior to 3.8.10 **Description** Insufficient input sanitization and output escaping in the AJAX Cron Handler allow unauthenticated attackers to perform Stored Cross-Site Scripting (XSS). This occurs when arbitrary web scripts are injected into pages via a request parameter, which then execute when a user accesses the affected page. **Recommendations** Update WP-Lister Lite for eBay to version 3.8.10 or later.

**Name of the Vulnerable Software and Affected Versions** MPG – Multiple Page Generator, Bulk Landing Pages & Programmatic SEO versions prior to 4.2.2 **Description** This issue is a generic SQL Injection via URL Path caused by insufficient escaping of user-supplied parameters and a lack of sufficient preparation of the existing SQL query. Authenticated attackers with subscriber-level access or higher can append additional SQL queries to existing ones to extract sensitive information from the database. This is only exploitable when the `[mpg spintax]` shortcode is rendered in site-wide content, such as a footer or template part, because the vulnerable code path is only accessed when the shortcode is active on the requested page. **Recommendations** Update to a version newer than 4.2.1. As a temporary mitigation, avoid rendering the `[mpg spintax]` shortcode in site-wide content like footers or template parts.

**Name of the Vulnerable Software and Affected Versions** Frontend Admin by DynamiApps versions prior to 3.29.13 **Description** An authentication bypass allows unauthenticated attackers to take over accounts. The issue occurs because the `pre update value` function lacks capability or ownership checks, and the `ActionPost::conditions logic()` function bypasses the `current user can('edit post')` authorization check when the post ID is non-numeric (for example, using the string `user 1`). This allows unauthenticated form submissions to be routed to arbitrary user records, enabling attackers to overwrite any user's registered email address, including administrators, and subsequently use the native password-reset process to gain full account access. **Recommendations** Update Frontend Admin by DynamiApps to a version newer than 3.29.12.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** Pods – Custom Content Types and Fields، الإصدارات الأقدم من 3.3.9.1 **الوصف** يحتوي المكون الإضافي Pods – Custom Content Types and Fields الخاص بـ WordPress على ثغرة في تصعيد الامتيازات تسمح للمهاجمين غير المصادق عليهم بالحصول على امتيازات المسؤول أو الكتابة فوق أي كلمة مرور لحساب مستخدم، بما في ذلك حساب مالك الموقع، مما يؤدي إلى الاستيلاء الكامل على الموقع. تكمن المشكلة في موجه AJAX `pods admin`، الذي يتولى عمليات الفحص الأمنية مثل قوائم السماح بالطرق، والتحقق من الرقم العشوائي (nonce)، وفرض تسجيل الدخول، وبوابات الصلاحيات من خلال الدالة `pods error()`. في مسار التوافق JSON `meta-box-loader`، تقوم الدالة `pods error()` بتسجيل حالات الفشل في سجل أخطاء PHP فقط وتُرجع القيمة false دون إنهاء الطلب، مما يسمح باستمرار التنفيذ لطرق API ذات الصلاحيات الخاصة مثل `save user()`. هناك أكثر من 100,000 تثبيت نشط معرض للتأثر، وقد تم الإبلاغ عن حوادث فعلية قام فيها المهاجمون بإضافة مستخدمين إداريين غير مصرح لهم إلى مواقع الويب. **التوصيات** قم بتحديث المكون الإضافي إلى الإصدار 3.3.9.1 أو الإصدارات المُصَحَّحة المقابلة للفروع الأقدم: 2.8.23.4، أو 2.9.19.4، أو 3.0.10.4، أو 3.1.4.2، أو 3.2.8.3.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** TrueBooker – نظام حجز المواعيد والجدولة، الإصدارات الأقدم من 1.2.4 **الوصف** تسمح هذه الثغرة للمهاجمين غير المصادق عليهم بالاستيلاء على الحسابات من خلال استغلال الخلل في عملية التحقق من إعادة تعيين كلمة المرور. يفشل المكون الإضافي في التحقق بشكل صحيح من هوية المستخدم أثناء عملية إعادة تعيين كلمة المرور، مما يمكّن المهاجمين من إعادة تعيين كلمات المرور لحسابات عشوائية، بما في ذلك الحسابات التي تتمتع بامتيازات المسؤول. **التوصيات** قم بتحديث TrueBooker – نظام حجز المواعيد وتنظيم الجداول إلى الإصدار 1.2.4 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Uncanny Automator الأقدم من 7.3.3 **الوصف** يحتوي المكون الإضافي Uncanny Automator لـ WordPress على ثغرة في عملية المصادقة. يمكن للمستخدمين المصادق عليهم الذين يتمتعون بحقوق وصول على مستوى المشترك أو أعلى استغلال هذه الثغرة عن طريق إرسال طلبات إلى إجراءات AJAX التالية: `automator google contacts fetch labels`، و`automator mautic segment fetch`، و`automator mautic tags fetch`، و`automator mautic render contact fields`. تنبع المشكلة من عدم وجود فحوصات للصلاحيات وغياب التحقق من الرمز العشوائي (nonce) (وهو رمز أمان يُستخدم لمنع تزوير الطلبات عبر المواقع) في معالجات `ajax fetch labels()` و`segments fetch()` و`tags fetch()` و`render contact fields()`. وهذا يسمح للمهاجمين بتحديد مجموعات وتصنيفات جوجل كونتاكتس الحساسة، بالإضافة إلى شرائح Mautic والعلامات وتعريفات حقول جهات الاتصال، باستخدام بيانات الاعتماد التي تم تكوينها من قبل المسؤول. بالإضافة إلى ذلك، قد يؤدي هذا إلى استهلاك حصص واجهة برمجة التطبيقات (API) الخاصة بأطراف ثالثة. **التوصيات** قم بتحديث المكون الإضافي إلى إصدار أحدث من 7.3.2.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات Web Directory Free السابقة للإصدار 1.7.14 **الوصف** يحتوي المكون الإضافي Web Directory Free الخاص بـ WordPress على ثغرة عامة تتعلق بحقن SQL. تحدث هذه المشكلة لأن البرنامج لا يقوم بتشفير المدخلات التي يقدمها المستخدم بشكل صحيح، كما أنه يفتقر إلى الإعداد الكافي لاستعلام SQL. يمكن للمهاجمين غير المصادق عليهم استغلال هذه الثغرة عن طريق إضافة استعلامات SQL ضارة عبر المعلمة `levels` لاستخراج معلومات حساسة من قاعدة البيانات. **التوصيات** قم بتحديث المكون الإضافي إلى إصدار أحدث من 1.7.13. كإجراء مؤقت للتخفيف من المخاطر، قم بتقييد أو تعطيل استخدام المعلمة `levels` حتى يتم تطبيق التحديث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** WPFunnels – أداة إنشاء مسارات التحويل لـ WooCommerce مع ميزات الدفع و”البيع الإضافي بنقرة واحدة“، للإصدارات الأقدم من 3.12.8 **الوصف** يمكن للمهاجمين غير المصادق عليهم تنفيذ تعليمات برمجية عن بُعد عن طريق إرسال قيم غير مُعقمة عبر المعلمة `postData`. يقوم المكون الإضافي بكتابة هذه القيم في ملف .log قابل للتضمين في PHP، والذي يتم عرضه لاحقًا باستخدام الدالة `include once` داخل الدالة `wpfnl show log()`. لكي ينجح الاستغلال، يجب أن يكون زر التبديل «تمكين السجلات» في «إعدادات السجل» نشطًا، ويجب أن يقوم أحد المسؤولين بعرض ملف السجل الملوث عبر واجهة المستخدم «عرض السجلات» في «إعدادات السجل». الرمز العشوائي (nonce) المطلوب للوصول إلى نقطة النهاية متاح للجميع على كل صفحة من خطوات مسار التحويل، مما يسمح بإجراء الحقن الأولي دون مصادقة. **التوصيات** قم بتحديث المكون الإضافي إلى الإصدار 3.12.8 أو أحدث. قم بتعطيل زر التبديل «تمكين السجلات» في «إعدادات السجل» كإجراء تخفيفي مؤقت.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** المكوّن الإضافي Branda لإصدارات WordPress السابقة للإصدار 3.4.30 **الوصف** المكوّن الإضافي معرض لخطر تصعيد الصلاحيات من خلال الاستيلاء على الحساب. ويحدث ذلك لأن البرنامج لا يقوم بالتحقق بشكل صحيح من هوية المستخدم قبل تحديث كلمة المرور، مما يسمح للمهاجمين غير المصادق عليهم بتغيير كلمات مرور مستخدمين عشوائيين، بما في ذلك المسؤولين، للحصول على وصول غير مصرح به إلى الحساب. **التوصيات** قم بتحديث المكون الإضافي إلى إصدار أحدث من 3.4.29.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** الإصدارات المدرجة في القائمة السرية التي تسبق الإصدار 5.3.9 **الوصف** يؤدي التقييد غير الصحيح لمسار الملف إلى دليل مقيد، والمعروف باسم «عبور المسار» (Path Traversal)، إلى السماح بتنزيل ملفات عشوائية. ويحدث ذلك عندما يفشل التطبيق في التحقق بشكل صحيح من صحة المدخلات التي يقدمها المستخدم والمستخدمة لإنشاء مسار الملف، مما يتيح الوصول إلى ملفات خارج الدليل المقصود. **التوصيات** التحديث إلى إصدار أحدث من 5.3.8.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات GiveWP الأقدم من 4.14.6 **الوصف** يؤدي التعطيل غير السليم للمدخلات أثناء إنشاء صفحة الويب في Liquid Web / StellarWP GiveWP إلى حدوث ثغرة ”البرمجة النصية عبر المواقع (XSS) المستندة إلى DOM“، وهي ثغرة تتمثل في احتواء التطبيق على جافا سكريبت من جانب العميل يعالج البيانات الواردة من مصدر غير موثوق به بطريقة غير آمنة، وعادةً ما يتم ذلك عن طريق كتابة البيانات إلى وجهة خطيرة. **التوصيات** قم بالتحديث إلى إصدار أحدث من 4.14.5.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات myCred الأقدم من 3.0.5 **الوصف** يؤدي التعقيم غير السليم للمدخلات أثناء إنشاء صفحة الويب إلى حدوث ثغرة «التنفيذ البرمجي عبر المواقع» (XSS) المخزنة، وهي حالة يتم فيها تخزين البرامج النصية الخبيثة بشكل دائم على الخادم المستهدف وتنفيذها في متصفح المستخدمين الذين يشاهدون الصفحة المتأثرة. **التوصيات** قم بالتحديث إلى إصدار أحدث من 3.0.4.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات WeGIA الأقدم من 3.5.1 **الوصف** WeGIA هو تطبيق لإدارة المواقع الإلكترونية مخصص للمؤسسات. توجد ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع (XSS) المنعكس» في نقطة نهاية واجهة برمجة التطبيقات (API) `/html/atendido/cadastro atendido parentesco pessoa nova.php`. يمكن للمهاجمين إدخال نصوص برمجية ضارة عبر المعلمة `idatendido`. **التوصيات** قم بالتحديث إلى الإصدار 3.5.1 أو أحدث.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات WeGIA الأقدم من 3.5.1 **الوصف** WeGIA هو مدير ويب للمؤسسات. توجد ثغرة أمنية تتعلق بحقن SQL في نقطة نهاية واجهة برمجة التطبيقات (API) `/html/funcionario/dependente listar.php`، وتحديدًا من خلال المعلمة `id funcionario`. يتيح الاستغلال الناجح لهذه الثغرة للمهاجمين تنفيذ أوامر SQL تعسفية، مما قد يعرض سرية وسلامة وتوافر قاعدة البيانات للخطر. **التوصيات** قم بالتحديث إلى الإصدار 3.5.1 أو أحدث.