Alex Thomas

Ocorre um estouro de buffer baseado em heap na função `unc decoder mixed interleave::processTile()`. Este problema é desencadeado quando um arquivo HEIF é processado com componentes chroma de profundidades de bits desiguais, como Cb de 16 bits e Cr de 8 bits. Isso permite que um invasor realize gravações fora dos limites além do plano Cr, o que pode levar à execução de código arbitrário em pipelines de processamento de imagem.

Uma Injeção de Objeto PHP não autenticada existe devido à desserialização de conteúdo de banco de dados não confiável na função `unserializeTest()` da classe `DUPX UpdateEngine` durante a migração. Atacantes podem armazenar um objeto serializado no conteúdo público do site, que é processado quando um administrador cria um pacote e realiza uma migração ou importação envolvendo a substituição de pesquisa no banco de dados. Na versão gratuita, uma cadeia POP do Requests 1.7 permite a execução direta de comandos do sistema operacional via callbacks selecionados pelo atacante. Na versão Pro, um gadget destruturador `IndexList` permite a exclusão de um arquivo específico se o diretório for gravável pelo processo PHP do instalador; por exemplo, a exclusão do `wp-config.php` pode acionar o assistente de configuração, levando potencialmente à tomada de controle do site e execução de código se o atacante fornecer um banco de dados sob seu controle.

Ocorre Cross-Site Scripting Armazenado devido a autorização, sanitização de entrada e escape de saída insuficientes na ação AJAX `save popup content` do Popup Builder. Atacantes não autenticados podem injetar scripts web arbitrários através do parâmetro `content` em um popup Gutenberg publicado. Esses scripts são executados sempre que um usuário acessa uma página na qual o popup está configurado para ser exibido. Este problema requer uma licença premium válida, o módulo Popup Builder e pelo menos um popup Gutenberg publicado configurado para exibição.

Um problema de upload arbitrário de arquivos afeta mais de 1 milhão de instalações do WordPress. A falha origina-se de uma validação insuficiente do estado de chunk de upload de múltiplos arquivos na função `GFAsyncUpload::upload()`. Especificamente, ocorre uma falha de confusão de domínio criptográfico porque o `wp hash()` é reutilizado sem separação de contexto tanto para o estado do formulário público quanto para a autenticação de continuação de chunk, permitindo que invasores reutilizem um hash de URL legítimo para autenticar solicitações de upload maliciosas. Invasores não autenticados podem explorar isso quando um formulário público possui um campo de Upload de Arquivo com a opção de Múltiplos Arquivos ativada, fazendo o upload de um poliglota PNG ou PDF—um arquivo que é válido em dois formatos diferentes—para um nome de arquivo de sua escolha, como `.php` ou `.html`, no diretório temporário de upload. Isso pode levar à execução remota de código em sistemas que utilizam NGINX ou outros servidores web que não respeitam arquivos `.htaccess`. Em servidores onde a execução de PHP é bloqueada, como o Apache, o upload de um arquivo HTML pode resultar em cross-site scripting (XSS) armazenado de mesma origem, que ocorre quando um script malicioso é armazenado permanentemente no servidor e executado no navegador da vítima.

Existe uma falha de bypass de autenticação no fluxo de Single Sign-On (SSO) do Hub, afetando potencialmente cerca de 350.000 sites WordPress. O problema decorre de uma confusão de canonicalização de HMAC — uma falha de design de protocolo onde o signatário e o verificador divergem sobre a estrutura da mensagem — entre dois endpoints AJAX não autenticados: 'wdpsso step1' e 'wdpsso step2'. No 'wdpsso step1', o sistema assina uma concatenação de `token`, `state`, `redirect` e `domain` sem delimitadores. No entanto, o 'wdpsso step2' verifica uma concatenação que omite o campo `domain`. Um invasor pode usar o 'wdpsso step1' como um oráculo de assinatura, fornecendo um valor de `redirect` vazio para obter um HMAC válido para a combinação de `token`, `state` e `domain`. Ao reproduzir esse HMAC no 'wdpsso step2' e mover o valor de `domain` para o campo `redirect`, a string de bytes resultante permanece idêntica, fazendo com que a verificação seja bem-sucedida. Isso permite que um invasor não autenticado obtenha uma sessão de administrador autenticada se o Hub SSO estiver habilitado e mapeado para um administrador. Se o editor de temas ou plugins do WordPress estiver acessível, isso pode levar ao controle total do site e à execução remota de código via modificação de PHP.

Um invasor não autenticado pode alcançar a execução remota de código e o comprometimento total do site ao gravar arquivos PHP controlados pelo invasor no servidor. Isso é possível por meio de uma cadeia de seis etapas de fraquezas envolvendo autorização, validação de entrada, limites de confiança, comportamento privilegiado e manipulação de arquivos entre o tema e seu plugin obrigatório. A exploração bem-sucedida requer que tanto o tema quanto o plugin estejam instalados e ativos, bem como a presença de certos conteúdos criados por administradores. Mais de 1 milhão de sites estão potencialmente afetados.

Name of the Vulnerable Software and Affected Versions O plugin AM LottiePlayer para WordPress versões até e incluindo 3.6.0 Description O plugin AM LottiePlayer para WordPress é suscetível a Cross-Site Scripting Persistente através de arquivos SVG carregados. A sanitização e o escape de saída insuficientes permitem que atacantes autenticados com acesso de nível de Autor ou superior injetem scripts web arbitrários em páginas. Esses scripts são executados quando um usuário acessa a página afetada. Recommendations Atualize o plugin AM LottiePlayer para uma versão mais recente que 3.6.0.

O tema Houzez para WordPress é suscetível a Injeção de Objeto PHP devido à desserialização de entrada não confiável no arquivo `saved-search-item.php`. Isso permite que atacantes autenticados com acesso de nível de Assinante (Subscriber) ou superior injetem um Objeto PHP. Atualmente, não existe nenhuma cadeia de Injeção de Objeto PHP (POP) conhecida dentro do próprio software vulnerável. No entanto, se outro plugin ou tema contendo uma cadeia POP estiver instalado no mesmo site, um atacante poderá ser capaz de realizar ações como excluir arquivos arbitrários, recuperar dados sensíveis ou executar código, dependendo da cadeia POP específica presente.

O tema Houzez para WordPress está suscetível a Cross-Site Scripting (XSS) Armazenado através do upload de arquivos SVG. Isso se deve à sanitização de entrada e escape de saída inadequados nas funções `houzez property img upload()` e `houzez property attachment upload()`. Isso permite que atacantes não autenticados injetem scripts web arbitrários em páginas, que serão executados quando um usuário acessar o arquivo SVG.

O plugin Everest Forms (Pro) para WordPress é suscetível a Injeção de Objeto PHP devido à desserialização de entrada não confiável dentro da função `mime content type()`. Isso permite que atacantes não autenticados injetem um Objeto PHP quando um formulário com um campo de assinatura não obrigatório e um campo de upload de imagem estiver presente no site. O impacto deste problema é limitado, a menos que outro plugin ou tema contendo uma cadeia de Payload de Objeto PHP (POP) esteja instalado. Se uma cadeia POP existir no sistema, um atacante poderia potencialmente excluir arquivos, recuperar dados sensíveis ou executar código. Esta vulnerabilidade é explorável em versões do PHP anteriores à 8.

Name of the Vulnerable Software and Affected Versions: Easy Restaurant Menu Manager plugin for WordPress versions up to and including 2.0.1 Description: The issue arises from insufficient input sanitization and output escaping on user-supplied attributes in the `nsc eprm menu link` shortcode. This allows authenticated attackers with contributor-level access or higher to inject arbitrary web scripts in pages. These scripts will execute whenever a user accesses an injected page. Recommendations: For versions up to and including 2.0.1, consider disabling the `nsc eprm menu link` shortcode until a patch is available to prevent exploitation. Restrict access to the shortcode's attributes to minimize the risk of arbitrary script injection.

A vulnerabilidade permite a modificação não autorizada de dados devido à ausência de uma verificação de permissão na função `update settings`. Isso possibilita que invasores não autenticados atualizem as configurações do plugin.

O problema está relacionado à falta de uma verificação de permissão na função `update player`, permitindo que invasores não autenticados atualizem instâncias do player. Isso possibilita a modificação não autorizada de dados.

A vulnerabilidade permite que invasores autenticados com acesso de nível de assinante ou superior realizem ações não autorizadas devido à falta de verificação de permissões em todas as ações AJAX. Isso lhes permite excluir e importar assinantes, o que pode levar a ataques de script entre sites (XSS) armazenados. Não há informações disponíveis sobre o número estimado de dispositivos potencialmente afetados em todo o mundo ou sobre incidentes reais em que essa vulnerabilidade tenha sido explorada.

O problema decorre da sanitização insuficiente de entradas e da falta de escapamento de saídas em atributos fornecidos pelo usuário no shortcode `content block` do plugin. Isso permite que invasores autenticados com acesso de nível de colaborador ou superior injetem scripts web arbitrários nas páginas. Esses scripts serão executados sempre que um usuário acessar uma página infectada.

O problema está relacionado a Stored Cross-Site Scripting (XSS) por meio do parâmetro `title tag`, devido à sanitização insuficiente de entradas e à falta de escapamento de saídas. Isso permite que invasores autenticados com permissões de nível de colaborador ou superiores injetem scripts web arbitrários em páginas, os quais serão executados sempre que um usuário acessar uma página infectada.

O problema está relacionado a Stored Cross-Site Scripting (XSS) por meio dos blocos do plugin, devido à sanitização insuficiente de entradas e à falta de escapamento de saídas nos atributos `titleTag` fornecidos pelo usuário. Isso permite que invasores autenticados com permissões de nível de colaborador ou superiores injetem scripts web arbitrários em páginas, os quais serão executados sempre que um usuário acessar uma página infectada.

O problema está relacionado à falta de verificação de permissões em várias ações AJAX, permitindo que invasores autenticados com acesso de nível de assinante ou superior acessem e modifiquem dados confidenciais. Isso pode levar à divulgação de informações confidenciais ou à execução de ações não autorizadas, como salvar configurações avançadas do plugin.

The issue allows authenticated attackers with subscriber-level permissions and above to create copies of arbitrary posts due to a missing capability check on the `fnsf copy posts` function.

The issue allows authenticated attackers with subscriber-level permissions and above to modify data without authorization due to a missing capability check on the `fnsf af2 trigger dark mode` function. This enables them to enable or disable the dark mode plugin setting.