Abu Hurayra

Ocorre Cross-Site Scripting Armazenado através do widget Type Out devido à sanitização de entrada e escape de saída insuficientes em atributos fornecidos pelo usuário. Atacantes autenticados com nível de acesso de contribuidor ou superior podem injetar scripts web arbitrários em páginas, que serão executados sempre que um usuário acessar a página afetada.

Um problema de redirecionamento aberto existe na extensão Mediawiki - Collection, que permite que um invasor redirecione usuários para um site não confiável e falsifique a fonte dos dados.

O plugin Kirki – Freeform Page Builder, Website Builder & Customizer para WordPress contém uma falha de Insecure Direct Object Reference (IDOR). Isso ocorre devido à falta de validação em uma chave controlada pelo usuário no parâmetro `context`. Atacantes não autenticados podem explorar isso fornecendo um ID de postagem arbitrário através do parâmetro `context` e um modelo de bloco controlado pelo atacante para ler o título completo, conteúdo e resumo de qualquer postagem do WordPress, incluindo rascunhos, pendentes, publicações privadas, protegidas por senha e excluídas, independentemente do autor.

Existe um problema no endpoint de API REST `/wp-json/slim-seo/meta-tags/ai`. O `permission callback` verifica apenas a capacidade de nível superior `edit posts` e não valida se o usuário possui acesso de leitura ao post específico identificado pelo parâmetro `object.ID`. Consequentemente, a função `generate()` passa o ID do post controlado pelo atacante para `Data::get post content()`, que utiliza `get post()` para recuperar o conteúdo independentemente do status ou propriedade. Isso permite que usuários autenticados com nível de acesso Colaborador (Contributor) ou superior obtenham resumos gerados por IA de conteúdos não autorizados, incluindo posts privados, rascunhos, pendentes, futuros e posts protegidos por senha de outros usuários.

O plugin Slim SEO para WordPress contém uma falha de controle de acesso quebrada causada por uma verificação de capacidade ausente em uma função. Isso permite que usuários autenticados com permissões de nível de contribuidor ou superior realizem ações não autorizadas.

Um problema no plugin GenerateBlocks para WordPress permite que atacantes autenticados com nível de acesso de Colaborador ou superior recuperem dados sensíveis de usuário ou configuração por meio da inserção de informações sensíveis nos dados enviados.

The software contains a flaw related to improper input handling during web page generation, specifically a cross-site scripting issue. This allows for stored cross-site scripting (XSS) attacks. The vulnerable component is `powerpack-lite-for-elementor`.

A flaw exists in Noor Alam Magical Addons For Elementor that allows for Stored Cross-site Scripting (XSS). This issue is due to improper neutralization of input during web page generation. The vulnerability could allow an attacker to inject malicious scripts into web pages viewed by other users. The vulnerable component is `magical-addons-for-elementor`.

Existe uma falha no X Addons for Elementor na qual níveis de segurança de controle de acesso configurados incorretamente podem ser explorados, resultando na ausência de uma condição de autorização. A vulnerabilidade permite acesso não autorizado.

Os Shortcodes e recursos extras do plugin Phlox Theme para WordPress estão suscetíveis a Cross-Site Scripting Armazenado. Isso ocorre devido à sanitização insuficiente de entrada e escape de saída ao manipular os parâmetros `tag` e `title tag`. Atacantes autenticados com acesso de nível de Contribuidor ou superior podem injetar scripts web arbitrários em páginas. Esses scripts serão executados quando um usuário acessar a página injetada.

Existe uma vulnerabilidade no pencilwp X Addons for Elementor que permite Cross-site Scripting (XSS) baseado em DOM. Isso se deve à neutralização inadequada de entrada durante a geração da página web. A vulnerabilidade permite que um atacante injete scripts maliciosos em páginas web, potencialmente comprometendo dados do usuário ou a segurança do sistema. O componente vulnerável permite a execução de código JavaScript arbitrário no contexto do navegador do usuário.

O plugin Colibri Page Builder para WordPress está suscetível a Cross-Site Scripting Armazenado através do shortcode `colibri blog posts`. A sanitização insuficiente de entrada e o escape de saída inadequado em atributos fornecidos pelo usuário permitem que atacantes autenticados com acesso de nível de colaborador ou superior injetem scripts web arbitrários nas páginas. Esses scripts serão executados quando um usuário acessar a página injetada.

O software é suscetível a Cross-Site Scripting Armazenado (Stored XSS) através do widget Slider. Isso se deve à sanitização de entrada e ao escape de saída inadequados dos atributos fornecidos pelo usuário. Atacantes autenticados com acesso de nível de contribuidor ou superior podem injetar scripts web maliciosos nas páginas. Esses scripts serão executados quando um usuário acessar a página afetada.

O software está suscetível a Cross-Site Scripting Armazenado através do parâmetro `mpac title tag` no widget Magical Posts Accordion. A sanitização de entrada e o escape de saída insuficientes dos nomes de tags HTML fornecidos pelo usuário permitem que atacantes autenticados com acesso de nível de Autor ou superior injetem scripts web arbitrários nas páginas. Esses scripts serão executados quando um usuário acessar a página injetada.

O software All In One SEO Pack contém uma falha que permite a recuperação de dados sensíveis incorporados devido à inserção de informações sensíveis nos dados enviados.

O plugin Magical Products Display para WordPress está suscetível a Cross-Site Scripting Armazenado. Isso se deve à sanitização de entrada e escape de saída insuficientes dos nomes de tags HTML fornecidos pelo usuário nos parâmetros `mpdpr title tag` e `mpdpr subtitle tag` dentro do widget MPD Pricing Table. Atacantes autenticados com acesso de nível de Contribuidor ou superior podem injetar scripts web arbitrários em páginas. Esses scripts serão executados quando um usuário acessar a página injetada.

O plugin HT Mega – Absolute Addons For Elementor para WordPress está suscetível a Cross-Site Scripting Armazenado através de seus blocos do Gutenberg. Isso é causado por uma validação de entrada inadequada de nomes de tags HTML fornecidos pelo usuário, especificamente a falta de uma lista branca de nomes de tags. Tags perigosas como `script`, `iframe` e `object` podem ser injetadas apesar do uso de `tag escape()` para sanitização. Embora alguns blocos utilizem `esc html()` para conteúdo, isso pode ser contornado usando técnicas de codificação JavaScript, como strings sem aspas, backticks e `String.fromCharCode()`. Atacantes autenticados com acesso de nível de colaborador ou superior podem injetar scripts web arbitrários em páginas, que serão executados quando um usuário acessar a página afetada.

O plugin aThemes Addons for Elementor para WordPress possui uma falha que permite a injeção de scripts web maliciosos. Isso ocorre devido ao tratamento inadequado de dados fornecidos pelo usuário dentro do widget Call To Action. Atacantes autenticados com permissões de nível de contribuidor ou superiores podem explorar essa falha para inserir scripts web arbitrários em páginas. Esses scripts serão executados quando qualquer usuário visitar a página afetada. A questão origina-se da sanitização de entrada e do escape de saída insuficientes dos valores fornecidos pelo usuário.

Existe uma falha no Blockspare que permite a recuperação de dados sensíveis incorporados devido à inserção de informações sensíveis nos dados enviados. O número de dispositivos potencialmente afetados em todo o mundo não é especificado. Não há relatos de incidentes reais onde essa questão foi explorada. Nenhum endpoint de API específico, parâmetros vulneráveis ou nomes de funções são mencionados nas informações fornecidas.

O plugin SureForms – Construtor de Formulários Arrastar e Soltar para WordPress contém uma falha no controle de acesso. Especificamente, o endpoint da API '/wp-json/sureforms/v1/srfm-global-settings' não restringe adequadamente o acesso. Isso permite que atacantes autenticados com acesso de nível de contribuidor ou superior obtenham informações sensíveis. Essas informações incluem chaves de API para Google reCAPTCHA, Cloudflare Turnstile e hCaptcha, bem como endereços de e-mail de administradores e configurações de formulário relacionadas à segurança.