Alexhenry

A validação insuficiente do caminho do arquivo na função ` construct()` permite que invasores não autenticados realizem a exclusão limitada de arquivos de tema no servidor.

Ocorre Cross-Site Scripting Armazenado através do atributo 'customStyle' do bloco Google Maps. O problema decorre do uso da função `eval()` em conteúdo de bloco controlado pelo usuário na função JavaScript de frontend `mapStyles()`. Atacantes autenticados com nível de acesso de Colaborador ou superior podem injetar scripts web arbitrários em páginas, que serão executados sempre que um usuário acessar a página afetada.

Existe uma falha de bypass de autorização devido à ausência de uma verificação de capacidade na função `ai ajax`. Esta falha permite que atacantes não autenticados visualizem o conteúdo de blocos de anúncios que foram restringidos por um administrador para visibilidade exclusiva de administradores.