Andrea Bocchetti

The MemberPress Corporate Accounts plugin for WordPress is vulnerable to Privilege Escalation in versions up to, and including, 1.5.39. This is due to a mass assignment vulnerability in the 'add sub account user' function that passes the raw 'userdata' array to 'wp insert user' without filtering dangerous keys like role or ID. This makes it possible for authenticated attackers, with subscriber-level access and above who hold a corporate account, to create new administrator accounts or hijack existing administrator accounts by overwriting their email addresses. The vulnerability was partially patched in version 1.5.39.

The Repeater Fields for Gravity Forms plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Repeated Multi-Input Sub-Field Values in all versions up to, and including, 3.0.4 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This vulnerability only affects multi-input sub-field types within a repeater (such as Name, Address, and Checkbox fields), as scalar single-input field values are escaped with esc html() at the output stage in version 3.0.4.

The Contact Form by Supsystic plugin for WordPress is vulnerable to Stored Cross-Site Scripting via IP Address Header in all versions up to, and including, 1.10.2 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. An unauthenticated attacker can first call the 'updateNonce' action — which is accessible without authentication due to its absence from the plugin's permission list — to obtain a valid nonce, then submit a contact form with a malicious payload in a spoofed IP header such as X-Forwarded-For.

**Nome do Software Vulnerável e Versões Afetadas** Single Sign On For TNG versões anteriores a 2.0.1 **Descrição** Existe uma falha de bypass de autenticação que permite a redefinição de senhas sem autenticação. A função `ssoprocess ajax()`, registrada em `wp ajax nopriv ssoprocess ajax`, aceita um parâmetro `email` fornecido por um invasor durante a operação `setnewpassword` e chama a função `reset password()` sem exigir um token de propriedade, confirmação de e-mail ou verificação de capacidade. A verificação de segurança realizada por `check ajax referer()` é ineficaz porque o nonce `ssoajaxnonce` é exposto publicamente em páginas front-end via `wp localize script()` dentro do objeto JavaScript `SSOPWDREQUIREMENT`. Como o WordPress utiliza um contexto de sessão anônima compartilhada para visitantes não autenticados, qualquer usuário não autenticado pode obter um nonce válido para autenticar a requisição, permitindo potencialmente a alteração de senha de qualquer conta, incluindo administradores, e a tomada total de controle do site. **Recomendações** Atualize o Single Sign On For TNG para uma versão posterior a 2.0.0. Como medida de mitigação temporária, restrinja o acesso ao endpoint `wp ajax nopriv ssoprocess ajax`.

**Nome do Software Vulnerável e Versões Afetadas** Super Forms – Drag & Drop Form Builder versões anteriores a 6.3.314 **Descrição** O plugin Super Forms – Drag & Drop Form Builder para WordPress contém uma falha de upload arbitrário de arquivos que permite que atacantes não autenticados alcancem a execução remota de código. O problema reside na função `submit form()` dentro do manipulador AJAX nopriv `submit form`, que carece de validação de tipo de arquivo e verificações de capacidade. Atacantes podem ignorar a exigência de nonce de sessão usando a ação AJAX nopriv `super create nonce` para obter um `sf nonce` e um cookie de sessão válidos. A exploração envolve o envio de uma string datauristring codificada em base64 através do parâmetro `data` para o endpoint '/wp-admin/admin-ajax.php', que é então decodificada e gravada no disco com um nome de arquivo controlado pelo atacante. Mais de 440.000 tentativas de exploração foram detectadas, com alguns relatórios indicando mais de 250.000 tentativas bloqueadas onde webshells PHP, como Mushr00w upl.php, foram implantados para preparar cargas úteis adicionais. **Recomendações** Atualize para a versão 6.3.314 imediatamente. Como mitigação temporária, implante uma regra de WAF para bloquear uploads de arquivos para '/wp-content/uploads/' provenientes de requisições não autenticadas.

**Nome do Software Vulnerável e Versões Afetadas** Cost Calculator Builder versões anteriores a 4.0.2 **Descrição** O plugin é suscetível a Manipulação de Preço Não Autenticada e Referência Direta a Objeto Insegura (IDOR), o que ocorre quando usado em combinação com o Cost Calculator Builder PRO. O problema surge porque a ação AJAX 'ccb woocommerce payment' é registrada via `wp ajax nopriv`, permitindo acesso não autenticado. Além disso, a função `renderWooCommercePayment()` passa dados controlados pelo usuário para `CCBWooCheckout::init()` sem realizar verificações de autorização. Isso permite que atacantes não autenticados adicionem produtos do WooCommerce ao carrinho com preços controlados pelo atacante. **Recomendações** Atualize para uma versão posterior à 4.0.1. Como medida paliativa temporária, restrinja o acesso à ação AJAX 'ccb woocommerce payment' apenas a usuários autenticados.

**Nome do Software Vulnerável e Versões Afetadas** AAWP versão 3.16 **Descrição** Um problema de cross-site scripting refletido existe onde atacantes autenticados podem injetar scripts maliciosos manipulando o parâmetro `tab`. Isso ocorre na página de administração 'aawp-settings', permitindo a execução de JavaScript arbitrário no contexto de usuários autenticados. **Recomendações** Como medida paliativa temporária, restrinja o acesso ao parâmetro `tab` na página de administração 'aawp-settings' para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** Royal Elementor Addons versões anteriores a 1.7.1057 **Descrição** O plugin Royal Elementor Addons para WordPress contém um problema de Stored Cross-Site Scripting. Isso ocorre devido à sanitização de entrada e escape de saída insuficientes na ação AJAX `wpr update form action meta` através do parâmetro `status`. Além disso, um nonce vazado publicamente permite acesso não autenticado ao manipulador AJAX, possibilitando que atacantes não autenticados injetem scripts web arbitrários em páginas que serão executados quando acessados por usuários. **Recomendações** Atualize o plugin para uma versão posterior a 1.7.1056.

**Nome do Software Vulnerável e Versões Afetadas** MetForm Pro versões anteriores a 3.9.8 **Description** A Validação Inadequada de Entrada nas integrações de pagamento para Stripe e PayPal permite que atacantes não autenticados manipulem o valor do pagamento. Isso ocorre porque o sistema confia em um valor de campo de cálculo enviado pelo usuário sem recomputá-lo ou validá-lo em relação ao preço do formulário configurado. O problema pode ser explorado através do campo `mf-calculation` na requisição REST de envio do formulário quando um formulário estiver configurado com essas definições específicas. **Recommendations** Atualize o MetForm Pro para a versão 3.9.8 ou posterior. Como medida de mitigação temporária, evite usar o campo `mf-calculation` em formulários integrados ao Stripe ou PayPal até que a atualização seja aplicada.

Name of the Vulnerable Software and Affected Versions Elementor Website Builder – More Than Just a Page Builder plugin for WordPress versões até 3.35.5 Description O plugin Elementor Website Builder para WordPress é suscetível a Cross-Site Scripting Armazenado devido à sanitização inadequada de entrada e escape de saída. Isso permite que atacantes autenticados com acesso de nível de Contributor ou superior injetem scripts web arbitrários em páginas. Esses scripts serão executados quando um usuário acessar a página afetada. Recommendations Atualize para uma versão posterior a 3.35.5

**Name of the Vulnerable Software and Affected Versions** MetForm Pro plugin for WordPress versions through 3.9.6 **Description** The MetForm Pro plugin for WordPress is susceptible to Stored Cross-Site Scripting through the Quiz feature. Insufficient input sanitization and output escaping allow unauthenticated attackers to inject arbitrary web scripts into pages. These scripts will execute when a user accesses an injected page. **Recommendations** Update the MetForm Pro plugin to a version later than 3.9.6.

**Name of the Vulnerable Software and Affected Versions** wp.insider Simple Membership versions through 4.6.9 **Description** An authorization issue exists in wp.insider Simple Membership. The issue involves incorrectly configured access control security levels, potentially allowing unauthorized access. **Recommendations** Update to a version later than 4.6.9.

**Nome do Software Vulnerável e Versões Afetadas** SureForms – Drag and Drop Form Builder for WordPress versões anteriores a 2.2.2 **Description** Ocorre uma Validação Inadequada de Entrada porque o plugin aceita valores de pagamento diretamente de dados POST controlados pelo usuário nas funções `create payment intent()` e `create subscription intent()` sem validá-los em relação ao preço configurado no formulário. Isso permite que atacantes não autenticados modifiquem o valor do pagamento para qualquer valor arbitrário ao enviar um formulário de pagamento Stripe, potencialmente adquirindo produtos ou serviços a preços reduzidos. **Recommendations** Atualize o SureForms – Drag and Drop Form Builder for WordPress para a versão 2.2.2 ou posterior. Como medida paliativa temporária, restrinja o acesso às funções `create payment intent()` e `create subscription intent()`.

**Name of the Vulnerable Software and Affected Versions** Fluent Forms Pro Add On Pack versions prior to 6.1.13 **Description** The Fluent Forms Pro Add On Pack plugin for WordPress is susceptible to a Server-Side Request Forgery issue. This allows authenticated attackers with Subscriber-level access or higher to make web requests to arbitrary locations from the web application. Exploitation can enable querying and modification of information from internal services via the `saveDataSource` function. **Recommendations** Update Fluent Forms Pro Add On Pack to version 6.1.13 or later.

**Name of the Vulnerable Software and Affected Versions** JAY Login & Register plugin for WordPress versions prior to 2.6.04 **Description** The JAY Login & Register plugin for WordPress is susceptible to a privilege escalation issue. The plugin allows updating arbitrary user meta through the `jay login register ajax create final user` function, potentially enabling unauthenticated attackers to gain administrator privileges. **Recommendations** Update the JAY Login & Register plugin to version 2.6.04 or later.

**Name of the Vulnerable Software and Affected Versions** Infility Global plugin for WordPress versions prior to 2.14.46 **Description** The Infility Global plugin for WordPress is susceptible to unauthenticated SQL Injection through the '`infility get data`' API action. This is a result of inadequate escaping of user-supplied input and insufficient preparation of the SQL query. This allows unauthenticated attackers to potentially append additional SQL queries, and extract sensitive information from the database. **Recommendations** Update the Infility Global plugin to a version later than 2.14.46.

**Name of the Vulnerable Software and Affected Versions** All-in-One Video Gallery plugin for WordPress versions through 4.6.4 **Description** The All-in-One Video Gallery plugin for WordPress is susceptible to unauthorized data modification because of a missing capability check on the `ajax callback create bunny stream video`, `ajax callback get bunny stream video`, and `ajax callback delete bunny stream video` functions. This allows unauthenticated attackers to create and delete videos on the Bunny Stream CDN linked to the victim’s account, if they can acquire a valid nonce, which is present in public player templates. **Recommendations** Update to a version beyond 4.6.4.

**Name of the Vulnerable Software and Affected Versions** LearnPress – WordPress LMS Plugin versions prior to 4.3.2.5 **Description** The LearnPress WordPress LMS Plugin is affected by a sensitive information disclosure issue. Unauthenticated attackers can extract sensitive data, including user first names, last names, social profile links, and enrollment information, through the `get item permissions check` function. **Recommendations** Update LearnPress – WordPress LMS Plugin to version 4.3.2.5 or later.

**Advanced Custom Fields: Extended Plugin** Advanced Custom Fields: Extended versions up to and including 0.9.2.1 **Description** The Advanced Custom Fields: Extended plugin for WordPress has a flaw that allows unauthenticated attackers to gain administrator access. This is due to insufficient restrictions within the `insert user` function, which allows attackers to assign themselves the 'administrator' role during user registration, provided the 'role' parameter is mapped to a custom field. Approximately 100,000 websites are potentially affected. The issue can be exploited by submitting a crafted registration request. The `wp insert user()` function is abused to escalate privileges. The vulnerability allows for full site takeover, including the ability to upload malicious plugins and backdoors. A scanning campaign targeting WordPress plugins has been detected, potentially seeking to identify vulnerable sites. **Recommendations** Update to version 0.9.2.2 or later. Disable user registration until a patch is applied. Strip the role parameter from registration requests as a temporary mitigation. Review recent user registrations for unauthorized administrator accounts.

**Name of the Vulnerable Software and Affected Versions** Cost Calculator Builder plugin for WordPress versions prior to 3.7.0 **Description** The Cost Calculator Builder plugin for WordPress is susceptible to an unauthenticated payment status bypass. This occurs because the `complete payment` AJAX action is registered via `wp ajax nopriv`, allowing access to unauthenticated users. The `complete()` function only verifies a nonce, without checking user capabilities or order ownership. Nonces are exposed to all visitors via `window.ccb nonces` in the page source, enabling an attacker to mark any order's payment status as "completed" without actual payment. The issue requires the use of both Cost Calculator Builder and Cost Calculator Builder PRO. **Recommendations** Update the Cost Calculator Builder plugin to version 3.7.0 or later.