0X34Rth

O plugin Extended Random Number Generator para WordPress está suscetível a Cross-Site Scripting Armazenado através das configurações do plugin. A sanitização insuficiente de entrada e o escape de saída inadequado permitem que atacantes autenticados com acesso de nível de administrador injetem scripts web arbitrários nas páginas. Esses scripts serão executados quando um usuário acessar a página injetada. Este problema impacta especificamente instalações multisite e aquelas onde unfiltered html foi desativado.

O plugin WP Content Permission para WordPress é suscetível a Cross-Site Scripting Armazenado. Isso ocorre devido à sanitização insuficiente de entradas e escape de saída no parâmetro `ohmem-message`. Um atacante autenticado com acesso de nível Administrador ou superior pode injetar scripts web arbitrários em páginas. Esses scripts serão executados quando um usuário acessar a página injetada. O endpoint da API envolvido não é explicitamente mencionado. O parâmetro vulnerável é `ohmem-message`.

O plugin All push notification for WP para WordPress é suscetível a Injeção SQL baseada em tempo por meio do parâmetro `delete id`. Isso ocorre devido ao escapamento inadequado da entrada fornecida pelo usuário e à preparação insuficiente da consulta SQL existente. A exploração bem-sucedida permite que atacantes autenticados com acesso de nível administrador ou superior injetem consultas SQL adicionais em consultas existentes, possibilitando a extração de informações sensíveis do banco de dados.