Adrien Brunner

The Lightbox & Modal Popup WordPress Plugin – FooBox plugin for WordPress is vulnerable to Stored DOM-Based Cross-Site Scripting via the 'img alt attribute inside .wp-caption container' parameter in all versions up to, and including, 2.8.7 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This is exploitable by Subscriber-level users when bbPress is installed, as its bbp filter kses filter chain permits img and pre tags while preserving numeric character references inside attribute values, allowing encoded payloads to bypass save-time sanitization and reach the vulnerable sink fully intact. Exploitation by attackers with subscriber-level access and above requires that bbPress 2.6.20 is installed, a public forum exists, and either the first topic has already been approved or subsequent topics clear moderation. On a default installation, where that is not configured, the vulnerability requires attackers with contributor-level access and above.

A sanitização insuficiente de entrada e a falta de escape de saída permitem que invasores não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente em um servidor alvo. Isso ocorre quando um administrador salva um relatório SQL que seleciona uma coluna de banco de dados controlável pelo invasor, como `HTTP USER AGENT` ou `wp comments.comment agent`. Os scripts injetados são executados sempre que um usuário acessa a página afetada.

A sanitização insuficiente de entrada e a falta de escape de saída permitem que invasores não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente em um servidor alvo. O problema ocorre através do parâmetro `browser` ao enviar uma requisição HTTP não autenticada para o endpoint público de rastreamento de visitantes 'wmcAction=wmcTrack'. O script injetado é executado no navegador de um administrador autenticado quando o jqPlot PieRenderer integrado insere o rótulo da série decodificado de HTML diretamente como HTML.

A sanitização insuficiente de entrada e a escape de saída inadequada permitem que atacantes autenticados com nível de acesso de assinante ou superior realizem Cross-Site Scripting Baseado em DOM Armazenado. Isso ocorre por meio do parâmetro `img.alt`, permitindo a injeção de scripts web arbitrários que são executados quando um usuário visita a página afetada. Para que usuários de nível de assinante explorem isso, um plugin de conteúdo de front-end como o bbPress deve estar ativo para fornecer a capacidade `bbp participant`. Atacantes com nível de acesso de colaborador ou superior podem explorar isso se o site permitir que eles enviem HTML de imagem no conteúdo da postagem. Em instalações padrão onde isso não está configurado, é necessário acesso de nível personalizado ou superior.

A sanitização de entrada e a escape de saída insuficientes permitem que atacantes não autenticados realizem Stored Cross-Site Scripting. Ao manipular o parâmetro `HTTP USER AGENT`, um atacante pode injetar scripts web arbitrários em páginas que são executadas quando acessadas por um administrador.

Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes autenticados com acesso de nível de assinante ou superior podem injetar scripts web arbitrários em páginas. Esses scripts são executados sempre que um usuário acessa a página afetada. Este problema é explorável quando a configuração "Enable social group creation by all members" está ativa, permitindo que usuários de nível de assinante criem grupos.

Ocorre Cross-Site Scripting Armazenado através do campo Website `user url` do perfil do usuário. O problema decorre da escape de saída insuficiente no callback `ctdb filter comment author name()` vinculado ao `get comment author link`, que interpola o valor bruto de `user url` em um atributo href entre aspas simples sem utilizar `esc url()` ou `esc attr()`. Atacantes autenticados com nível de acesso de assinante ou superior podem injetar scripts web arbitrários que serão executados sempre que um usuário acessar um tópico do Discussion Board contendo a resposta do atacante.

Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes autenticados com acesso de nível de assinante ou superior podem injetar scripts web arbitrários através do parâmetro `degreetitle`. Esses scripts são executados sempre que um usuário acessa a página afetada. Como o fluxo de auto-registro permite que qualquer visitante crie uma conta de Empregador com suporte a Assinante, o problema é explorável por qualquer usuário que consiga se registrar no site.

Ocorre Cross-Site Scripting Armazenado quando o plugin extrai descrições meta HTML de artigos buscados remotamente usando a função `parse meta()` em `WPCP Readability`. Este valor é processado através da substituição de modelo de artigo e `html entity decode()` em `WPCP Module::insert post()`, sendo então salvo via `wp insert post()`. Como o processo altera o usuário atual para um autor de campanha com capacidades de `unfiltered html`, a sanitização `wp kses post` é ignorada. Atacantes não autenticados que controlam o conteúdo de uma fonte RSS utilizada em uma campanha podem injetar scripts web arbitrários que serão executados quando um usuário visualizar a página afetada.

Ocorre Cross-Site Scripting Armazenado via conteúdo de feeds RSS/Atom sindicados. A função `SyndicatedPost::sanitize content()` não remove os atributos `style` e manipuladores de evento `on[a-z]+`. Além disso, a função `SyndicatedPost::insert post()` remove os filtros `wp filter kses` e `wp filter post kses` de `content save pre` antes de persistir os itens do feed importados. Isso permite que invasores não autenticados que controlam um feed externo injetem scripts web arbitrários que serão executados sempre que um usuário acessar a página afetada.

A sanitização insuficiente de entrada e a escape de saída inadequada permitem que atacantes autenticados com nível de acesso de assinante ou superior realizem Stored Cross-Site Scripting. Isso ocorre por meio do parâmetro `bbp reply content`, permitindo a injeção de scripts web arbitrários que são executados quando um usuário visita a página afetada. A exploração é possível se um administrador tiver habilitado o Viewport Images (VPI) e configurado um nome de arquivo VPI que corresponda a uma imagem que o atacante possa incorporar em conteúdo gerado pelo usuário, como tópicos do bbPress onde os participantes podem postar respostas contendo tags img brutas.

A sanitização de entrada e a escape de saída insuficientes permitem que invasores não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente no servidor alvo. O problema ocorre através do parâmetro `media:thumbnail@url`. Um invasor pode injetar scripts web arbitrários em páginas que serão executadas sempre que um usuário as acessar, desde que o invasor controle um feed RSS externo já configurado para importação pelo site alvo.

Existe um problema onde usuários autenticados com nível de acesso de Instrutor ou superior podem realizar a Inclusão de Arquivos Locais (Local File Inclusion). Isso ocorre porque a função `llms get template()` utiliza `extract()` nos atributos do shortcode `[lifterlms checkout]` antes de resolver o caminho do template. Ao manipular os atributos `template name` e `default path`, um invasor pode sobrescrever parâmetros locais e controlar o caminho passado para um include do PHP. Isso pode levar à execução de arquivos arbitrários no servidor, ignorando controles de acesso, expondo dados sensíveis ou permitindo a execução de código remoto caso arquivos contendo conteúdo malicioso sejam carregados.

Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes autenticados com nível de acesso de assinante ou superior podem injetar scripts web arbitrários através do parâmetro `post title`. Esses scripts são executados sempre que um usuário acessa a página afetada.

A sanitização insuficiente de entrada e a escape inadequada de saída permitem que atacantes não autenticados realizem Cross-Site Scripting (XSS) Baseado em DOM Armazenado. Ao explorar o parâmetro `wcpr image upload id`, um atacante pode injetar scripts web arbitrários em metadados de comentários, que não são processados pelo `wp kses` (uma função do WordPress usada para sanitizar HTML). O ataque é facilitado pelo nonce `wcpr image upload` publicamente disponível em formulários de avaliação de produtos, pois o sistema não realiza verificações de capacidade, autenticação ou propriedade de anexo. Os scripts injetados são executados quando um usuário visualiza a avaliação afetada no frontend.

A sanitização de entrada e a codificação de saída insuficientes permitem que atacantes não autenticados realizem Reflected Cross-Site Scripting (XSS) através do fragmento de URL `#response`. Isso ocorre quando a função `getErrorMessage()` retorna uma string de erro bruta do Stripe em vez de uma mensagem segura mapeada, o que acontece se a configuração 'Generic Errors' estiver desmarcada. Isso permite a injeção de scripts web arbitrários que são executados quando um usuário visita a página afetada.

O plugin HivePress – Business Directory, Listings & Classified Ads para WordPress contém um problema de Stored Cross-Site Scripting causado por sanitização de entrada e escape de saída insuficientes. Atacantes não autenticados podem injetar scripts web arbitrários em páginas por meio de um parâmetro de nome de campo de atributo de usuário personalizado. Esses scripts são executados sempre que um usuário acessa a página afetada. Isso ocorre quando um administrador configura um atributo de usuário personalizado do tipo texto onde o `%value%` é colocado dentro de um contexto de atributo HTML e os perfis de usuário de front-end estão habilitados.

A sanitização de entrada e a codificação de saída insuficientes permitem que invasores não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente em um servidor alvo. O problema ocorre através do parâmetro `user email`. Em instalações WordPress Multisite com registro público habilitado, invasores podem usar endereços de e-mail contendo referências de caracteres HTML numéricos. Embora o validador do plugin rejeite esses endereços, o endereço controlado pelo invasor é persistido integralmente no log de e-mail por meio da mensagem de exceção de envio falho, executando o script quando um usuário acessa a página afetada.

Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes autenticados com nível de acesso de assinante ou superior podem injetar scripts web arbitrários através do parâmetro `name`. Esses scripts são executados sempre que um usuário acessa a página afetada. Este problema é explorável quando a configuração 'Register user if not exists' está desativada, que é a configuração padrão.

Existe um problema onde a escape insuficiente de parâmetros fornecidos pelo usuário e a falta de preparação em consultas SQL permitem que atacantes autenticados realizem SQL Injection baseada em tempo. Isso ocorre por meio do parâmetro `sort by`, permitindo que atacantes com acesso de nível personalizado ou superior anexem consultas SQL adicionais para extrair informações sensíveis do banco de dados. A exploração bem-sucedida requer que o atacante possua uma função de WordPress de nível Assinante (ou superior) e uma conta de Agente SupportCandy com a permissão 'Assign Agents' configurada.