Andrea Bocchetti

Existe um problema no ramo edit profile da função `user account manager()`. Uma falha de atribuição em massa ocorre quando os campos `$ POST` enviados são iterados e atribuídos ao objeto do membro atual via o método mágico ` set()` do `MS Model`, sem uma lista de permissões de campos e sem verificações de capacidade ou propriedade no parâmetro `id`. Atacantes autenticados com nível de acesso de assinante ou superior podem injetar um ID de usuário arbitrário através do parâmetro `id` para sobrescrever o endereço de e-mail e a senha de qualquer usuário do WordPress, incluindo o administrador do site, resultando em acesso administrativo total.

A versão premium do plugin contém uma falha devido à sanitização insuficiente de entrada e escape de saída. Isso permite que invasores não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente no servidor alvo, manipulando o cabeçalho HTTP Referer. Esses scripts são executados sempre que um usuário visita a página afetada. O ataque é facilitado pelo fato de que o nonce necessário para acessar o endpoint AJAX vulnerável está disponível no código-fonte da página para visitantes anônimos.

Atacantes não autenticados podem realizar uma Injeção de SQL genérica manipulando o parâmetro `validate`. Isso é causado pelo escape insuficiente da entrada fornecida pelo usuário e pela falta de preparação adequada da consulta SQL. Atacantes podem explorar a maleabilidade da cifra de fluxo AES-CTR—um tipo de criptografia onde o texto cifrado pode ser modificado para produzir uma alteração previsível no texto simples—para recuperar a sequência de chaves e forjar textos cifrados contendo SQL arbitrário. Além disso, a verificação HMAC, que é um mecanismo usado para verificar a integridade e a autenticidade dos dados, é aplicada apenas quando o parâmetro `wcap nonce` está presente; a omissão deste parâmetro permite ignorar a verificação.

Existe uma falha de bypass de autenticação devido ao uso de criptografia AES-CTR sem MAC para tokens de links de recuperação de carrinho. O nonce CTR de 8 bytes é armazenado no blob de texto cifrado e a chave de criptografia é recuperada usando o parâmetro GET `user email` fornecido pelo atacante. Além disso, a verificação de nonce HMAC na função `wcap email track links()` só é aplicada se o parâmetro `wcap nonce` não estiver vazio, permitindo a evasão através da omissão do parâmetro. Uma referência direta a objeto insegura no `abandoned id` descriptografado permite ainda o acesso sem verificação de propriedade. Um atacante não autenticado com um link de recuperação de carrinho legítimo pode recuperar o keystream, forjar um texto cifrado para o ID de carrinho de qualquer vítima e acionar a função `wp set auth cookie()` para assumir totalmente a conta de qualquer usuário que tenha abandonado um carrinho, incluindo administradores. O recurso de login automático vem habilitado por padrão e é forçado durante atualizações do plugin.

A sanitização insuficiente de entrada e a falta de escape na saída permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente no servidor alvo. O problema ocorre quando os valores dos campos são exibidos sem escape no endpoint `admin/ecf index.php`, especificamente dentro de um atributo HTML de título e no corpo da célula da tabela. A codificação base64 e a serialização dos valores armazenados não neutralizam o conteúdo malicioso, permitindo que os scripts sejam executados quando um usuário acessa a página afetada.

Existe um problema onde atacantes autenticados com nível de acesso de assinante ou superior que possuam uma conta corporativa podem obter escalonamento de privilégios. Isso ocorre devido a uma falha de atribuição em massa (mass assignment) na função `add sub account user()`, que passa o array `userdata` bruto para `wp insert user()` sem filtrar chaves sensíveis como `role` ou `ID`. Atribuição em massa é uma vulnerabilidade onde uma aplicação recebe dados fornecidos pelo usuário e os vincula a um objeto interno sem a validação adequada, permitindo que atacantes modifiquem campos aos quais não deveriam ter acesso. Essa falha permite que atacantes criem novas contas de administrador ou sequestrem contas existentes sobrescrevendo endereços de e-mail.

A sanitização insuficiente de entrada e a falta de escape de saída permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente em um servidor alvo. Este problema afeta especificamente tipos de subcampos de entrada múltipla dentro de um repetidor, como campos de Nome, Endereço e Checkbox. Atacantes podem injetar scripts web arbitrários em páginas que são executados quando um usuário acessa a página afetada.

A sanitização insuficiente de entrada e a falta de escape de saída permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente em um servidor alvo. Um atacante pode chamar a ação `updateNonce()` para obter um nonce válido e, em seguida, enviar um formulário de contato contendo um payload malicioso em um cabeçalho de IP forjado, como `X-Forwarded-For`. Esses scripts são executados sempre que um usuário acessa a página afetada.

Existe um problema onde invasores não autenticados podem realizar a modificação não autorizada de dados. Isso ocorre devido a uma verificação de capacidade ausente na função `do action()` dentro da classe de ação `Update Options`. A falha permite a modificação de valores da Página de Opções do JetEngine se um administrador tiver configurado um formulário com a ação de pós-envio Update Options. Isso requer que tanto o JetFormBuilder quanto o JetEngine estejam instalados e ativos.

Existe uma falha de bypass de autenticação que permite a redefinição de senhas sem autenticação. A função `ssoprocess ajax()`, registrada em `wp ajax nopriv ssoprocess ajax`, aceita um parâmetro `email` fornecido por um invasor durante a operação `setnewpassword` e chama a função `reset password()` sem exigir um token de propriedade, confirmação de e-mail ou verificação de capacidade. A verificação de segurança realizada por `check ajax referer()` é ineficaz porque o nonce `ssoajaxnonce` é exposto publicamente em páginas front-end via `wp localize script()` dentro do objeto JavaScript `SSOPWDREQUIREMENT`. Como o WordPress utiliza um contexto de sessão anônima compartilhada para visitantes não autenticados, qualquer usuário não autenticado pode obter um nonce válido para autenticar a requisição, permitindo potencialmente a alteração de senha de qualquer conta, incluindo administradores, e a tomada total de controle do site.

O plugin Super Forms – Drag & Drop Form Builder para WordPress contém uma falha de upload arbitrário de arquivos que permite que atacantes não autenticados alcancem a execução remota de código. O problema reside na função `submit form()` dentro do manipulador AJAX nopriv `submit form`, que carece de validação de tipo de arquivo e verificações de capacidade. Atacantes podem ignorar a exigência de nonce de sessão usando a ação AJAX nopriv `super create nonce` para obter um `sf nonce` e um cookie de sessão válidos. A exploração envolve o envio de uma string datauristring codificada em base64 através do parâmetro `data` para o endpoint '/wp-admin/admin-ajax.php', que é então decodificada e gravada no disco com um nome de arquivo controlado pelo atacante. Mais de 440.000 tentativas de exploração foram detectadas, com alguns relatórios indicando mais de 250.000 tentativas bloqueadas onde webshells PHP, como Mushr00w upl.php, foram implantados para preparar cargas úteis adicionais.

O plugin é suscetível a Manipulação de Preço Não Autenticada e Referência Direta a Objeto Insegura (IDOR), o que ocorre quando usado em combinação com o Cost Calculator Builder PRO. O problema surge porque a ação AJAX 'ccb woocommerce payment' é registrada via `wp ajax nopriv`, permitindo acesso não autenticado. Além disso, a função `renderWooCommercePayment()` passa dados controlados pelo usuário para `CCBWooCheckout::init()` sem realizar verificações de autorização. Isso permite que atacantes não autenticados adicionem produtos do WooCommerce ao carrinho com preços controlados pelo atacante.

O plugin Royal Elementor Addons para WordPress contém um problema de Stored Cross-Site Scripting. Isso ocorre devido à sanitização de entrada e escape de saída insuficientes na ação AJAX `wpr update form action meta` através do parâmetro `status`. Além disso, um nonce vazado publicamente permite acesso não autenticado ao manipulador AJAX, possibilitando que atacantes não autenticados injetem scripts web arbitrários em páginas que serão executados quando acessados por usuários.

A Validação Inadequada de Entrada nas integrações de pagamento para Stripe e PayPal permite que atacantes não autenticados manipulem o valor do pagamento. Isso ocorre porque o sistema confia em um valor de campo de cálculo enviado pelo usuário sem recomputá-lo ou validá-lo em relação ao preço do formulário configurado. O problema pode ser explorado através do campo `mf-calculation` na requisição REST de envio do formulário quando um formulário estiver configurado com essas definições específicas.

Name of the Vulnerable Software and Affected Versions Elementor Website Builder – More Than Just a Page Builder plugin for WordPress versões até 3.35.5 Description O plugin Elementor Website Builder para WordPress é suscetível a Cross-Site Scripting Armazenado devido à sanitização inadequada de entrada e escape de saída. Isso permite que atacantes autenticados com acesso de nível de Contributor ou superior injetem scripts web arbitrários em páginas. Esses scripts serão executados quando um usuário acessar a página afetada. Recommendations Atualize para uma versão posterior a 3.35.5

O plugin MetForm Pro para WordPress é suscetível a Cross-Site Scripting Armazenado por meio do recurso Quiz. A sanitização insuficiente de entradas e o escapamento insuficiente de saídas permitem que atacantes não autenticados injetem scripts web arbitrários em páginas. Esses scripts serão executados quando um usuário acessar uma página injetada.

Ocorre uma Validação Inadequada de Entrada porque o plugin aceita valores de pagamento diretamente de dados POST controlados pelo usuário nas funções `create payment intent()` e `create subscription intent()` sem validá-los em relação ao preço configurado no formulário. Isso permite que atacantes não autenticados modifiquem o valor do pagamento para qualquer valor arbitrário ao enviar um formulário de pagamento Stripe, potencialmente adquirindo produtos ou serviços a preços reduzidos.

O plugin Fluent Forms Pro Add On Pack para WordPress é suscetível a um problema de Falsificação de Requisição do Lado do Servidor (SSRF). Isso permite que atacantes autenticados com acesso de nível Subscriber ou superior façam requisições web para endereços arbitrários a partir da aplicação web. A exploração pode permitir consultas e modificações de informações de serviços internos por meio da função `saveDataSource`.

O plugin JAY Login & Register para WordPress está suscetível a um problema de escalonamento de privilégios. O plugin permite a atualização arbitrária de metadados de usuário através da função `jay login register ajax create final user`, potencialmente permitindo que atacantes não autenticados obtenham privilégios de administrador.

O plugin Infility Global para WordPress é vulnerável a injeção SQL não autenticada por meio da ação da API '`infility get data`'. Isso ocorre devido ao escape inadequado da entrada fornecida pelo usuário e à preparação insuficiente da consulta SQL. Isso permite que atacantes não autenticados potencialmente acrescentem consultas SQL adicionais e extraiam informações sensíveis do banco de dados.