Truoc Phan

يحتوي المكون الإضافي على ثغرة «التنفيذ البرمجي عبر المواقع المخزنة» (Stored Cross-Site Scripting) داخل الرمز القصير `vc raw html`. تفشل الدالة `vc raw html::render()` في تنقية المدخلات بشكل صحيح وتشفير المخرجات عن طريق فك تشفير محتوى الرمز القصير باستخدام base64 وإدراجه مباشرةً في كود HTML للصفحة. تتجاوز هذه العملية مرشح `wp kses post()`، وهو دالة في WordPress تُستخدم لتنقية محتوى HTML، لأن المرشح لا يقوم بفك تشفير النص المكتوب بتنسيق base64. ونتيجة لذلك، يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المساهم» (Contributor) أو أعلى حقن نصوص برمجية ويب تعسفية يتم تنفيذها عندما يقوم مستخدم، مثل «المحرر» (Editor) أو «المسؤول» (Administrator)، بعرض الصفحة المتأثرة.

تتعلق المشكلة بـ ”البرمجة النصية عبر المواقع المنعكسة“ (Reflected Cross-Site Scripting) بسبب عدم كفاية تنقية المدخلات وتهريب المخرجات. وهذا يسمح للمهاجمين غير المصادق عليهم بحقن نصوص برمجية ويب عشوائية في الصفحات يتم تنفيذها إذا تمكنوا بنجاح من خداع المستخدم للقيام بإجراء ما، مثل النقر على رابط. المعلمة `data` معرضة بشكل خاص لهذا النوع من الهجمات.

تتعلق المشكلة بحقن SQL قائم على الوقت عبر المعلمة `subscriptionCouponId`، وذلك بسبب الهروب غير المناسب في المعلمة التي يقدمها المستخدم وعدم الإعداد المناسب في استعلام SQL الحالي. وهذا يتيح للمهاجمين المصادق عليهم، الذين يتمتعون بوصول على مستوى المشترك (Subscriber) أو أعلى، إرفاق استعلامات SQL إضافية بالاستعلامات الموجودة بالفعل، والتي يمكن استخدامها لاستخراج معلومات حساسة من قاعدة البيانات.

تتعلق المشكلة بتزوير الطلبات عبر المواقع (Cross-Site Request Forgery) بسبب عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجود خطأ فيه داخل إجراء AJAX `td ajax get views`. وهذا يسمح للمهاجمين غير المصادق عليهم بحقن نصوص برمجية ويب ضارة عبر طلب مزور، في حال تمكنوا من حث مسؤول الموقع على القيام بإجراء معين، مثل النقر على رابط.

تتعلق المشكلة بـ «التنفيذ البرمجي عبر المواقع» (Cross-Site Scripting) المنعكس، وذلك بسبب عدم كفاية عملية تنقية المدخلات وتهريب المخرجات. وهذا يسمح للمهاجمين غير المصادق عليهم بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي سيتم تنفيذها في حال تمكنوا من خداع المستخدم للقيام بإجراء ما، مثل النقر على رابط. المعلمتان `account id` و`account username` معرضتان لهذه المشكلة.

The issue is related to Improper Neutralization of Input During Web Page Generation, also known as 'Cross-site Scripting'. This allows for Stored XSS.

The WP Hotel Booking plugin for WordPress is vulnerable to arbitrary file uploads due to missing file type validation in the `update review()` function. This makes it possible for authenticated attackers, with subscriber-level access and above, to upload arbitrary files on the affected site's server, which may make remote code execution possible.

The issue arises from insufficient input sanitization and output escaping within the `on ajax check envato code` function, allowing unauthenticated attackers to inject arbitrary web scripts in pages via the `envato code[]` parameter. This can be exploited if an attacker tricks a user into performing a specific action, such as clicking on a link.

The issue is related to Reflected Cross-Site Scripting via the `envato code[]` parameter due to insufficient input sanitization and output escaping within the `on ajax register forum user` function. This allows unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link.

The issue concerns a Blind SQL Injection vulnerability via the `couponId` parameter of the "recreate stripe subscription" REST API endpoint. This vulnerability is due to insufficient escaping on the user-supplied parameter and lack of sufficient preparation on the existing SQL query, allowing authenticated attackers with administrator-level privileges to append additional SQL queries into already existing queries. This can be used to extract sensitive information from the database.

The issue is related to Blind SQL Injection via the `subscriptionCouponId` parameter through the "create stripe subscription" REST API endpoint. This occurs due to insufficient escaping on user-supplied parameters and lack of sufficient preparation on existing SQL queries. Authenticated attackers with administrator-level privileges can append additional SQL queries to extract sensitive information from the database.

The issue is due to the use of loose comparison in the `verify id token` function, making it possible for unauthenticated attackers to log in as any existing user on the site, such as an administrator, if they have access to an @flutter.io email address or phone number. This also requires Firebase to be configured on the website and the user to have set up Firebase for their account.

The issue is due to the use of loose comparison of the activation code in the `woo slg confirm email user` function. This makes it possible for unauthenticated attackers to log in as any existing user on the site, such as an administrator, if they have access to the `userID`. The email module must be enabled for this issue to occur.

The issue is due to insufficient verification on the `phone` parameter of the `firebase sms login` and `firebase sms login v2` functions. This allows unauthenticated attackers to log in as any existing user, such as an administrator, if they have access to the email address or phone number. Additionally, if a new email address is supplied, a new user account is created with the default role, even if registration is disabled.

The issue is due to insufficient verification of the `API key`, allowing unauthenticated attackers to log in as any existing user, such as an administrator, if they have access to the `username`. This enables them to perform various administrative tasks. The vulnerability was partially fixed in version 0.1.0.44 but remained exploitable via Cross-Site Request Forgery.

The issue is due to a lack of validation on user-supplied data in the 'pm upload image' AJAX action, allowing authenticated attackers with Subscriber-level access and above to update their user capabilities to Administrator.

The issue is related to a missing capability check on the `delete resmush list()` function, allowing authenticated attackers with minimal permissions, such as a subscriber, to delete the resmush list for Nextgen or the Media Library. This enables unauthorized deletion of the resmush list.

The issue is related to missing authorization checks on the REST API calls, allowing unauthenticated attackers to connect the site to InstaWP API, edit arbitrary site options, and create administrator accounts.

The issue is related to Stored Cross-Site Scripting via the plugin's button shortcode due to insufficient input sanitization and output escaping on user-supplied attributes. This allows authenticated attackers with contributor-level access and above to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The vulnerable code is specifically tied to the tagDiv Newspaper theme and may not be present if another theme is installed.

The issue is related to a Cross-Site Request Forgery (CSRF) vulnerability that allows Cross-Site Scripting (XSS) in tagDiv Composer.