Artus Kg

Em instalações multisite, o plugin não verifica as capacidades de nível de rede antes de processar um parâmetro de escopo de rede em suas rotas de importação de snippets. Isso permite que um administrador de um único subsite, sem direitos de gerenciamento de rede, crie, sobrescreva e desative snippets que afetam toda a rede.

Existe um problema onde o plugin não realiza verificações de autorização ou de status de publicação em uma ação AJAX. Isso permite que usuários não autenticados acessem o conteúdo completo de listagens de propriedades não publicadas, incluindo o nome privado, endereço de e-mail, número de telefone e endereço do escritório do agente de listagem, resultando na exposição de informações sensíveis.

Existe um problema onde o plugin não restringe o destinatário de uma ação de e-mail de contato devido à ausência de uma verificação de capacidade em uma função. Isso permite que usuários não autenticados enviem e-mails para endereços arbitrários através do site, controlando o cabeçalho do remetente e o corpo da mensagem.

Existe um problema onde o plugin falha ao realizar verificações de status de publicação ou autorização em duas de suas ações AJAX. Isso é causado por uma verificação de capacidade ausente em uma função, o que permite que usuários não autenticados recuperem imagens anexadas a listagens de propriedades que não foram publicadas.

Existe um problema onde o plugin não verifica se um pacote de listagem selecionado para ativação gratuita é realmente gratuito ou se o usuário solicitante tem direito a ele. Isso é causado por uma verificação de capacidade ausente em uma função, permitindo que usuários autenticados com nível de acesso de cliente ou superior ativem pacotes pagos sem pagamento, resultando no registro de uma fatura paga pelo valor total no site.

O plugin não verifica a assinatura em um endpoint de webhook não autenticado quando nenhum segredo compartilhado está configurado, que é o estado padrão. Isso permite que usuários não autenticados substituam a imagem de miniatura que o site publica para qualquer documento.

O plugin não restringe seus endpoints REST de relatórios a usuários com capacidades de gerenciamento. Isso permite que qualquer usuário autenticado com nível de acesso de assinante ou superior extraia informações sensíveis, especificamente os endereços de e-mail da equipe do repositório.

O plugin não impede que usuários com baixos privilégios forneçam um corpo de template que o mecanismo de template integrado compila e executa como PHP. Isso ocorre devido à validação insuficiente de entradas fornecidas pelo usuário, permitindo que atacantes autenticados com a função de Colaborador ou superior realizem a Execução Remota de Código (RCE), que é a capacidade de executar código arbitrário no servidor.

Verificações de autorização insuficientes em diversas ações AJAX permitem que usuários com a função de Colaborador ou superior leiam, modifiquem e excluam galerias pertencentes a outros usuários e filtros de galeria de todo o site.

A autorização insuficiente por registro em diversas ações da AI Abilities API permite que um usuário autenticado com a função LatePoint Agent ignore as restrições. Quando o recurso Abilities API está habilitado, um invasor pode ler e modificar dados de perfil de outros agentes, bem como acessar agendamentos e detalhes de clientes associados a outros agentes.

A restrição insuficiente de callbacks usados para resolver valores padrão de campos de esquema permite que usuários autenticados com nível de acesso de Autor ou superior armazenem entradas que revelam dados sensíveis. Isso pode levar à exposição de hashes de senha de outros usuários e valores arbitrários de opções do site em saídas públicas acessíveis a visitantes não autenticados.

O plugin não realiza verificações de autorização em diversas de suas ações e expõe sua página de gerenciamento a qualquer usuário autenticado. Isso permite que usuários com funções de baixo privilégio, como Assinante, armazenem valores de segmentação de exibição. Esses valores são posteriormente invocados como PHP callables de zero argumentos—funções que podem ser chamadas sem a passagem de argumentos—durante o carregamento de páginas públicas, o que pode resultar na divulgação de informações sensíveis e negação de serviço.

Um manipulador AJAX não autenticado falha ao realizar uma verificação de autorização, o que permite que usuários não autenticados leiam registros de contato de solicitações de orçamento. Isso inclui o acesso a registros que o site não publicou.

O plugin falha ao realizar uma verificação de capacidade em uma ação de conexão de conta, baseando-se apenas na verificação de nonce. Isso permite que usuários autenticados com privilégios mínimos, como Assinantes, sobrescrevam opções de configuração de todo o site, incluindo a conta de serviço vinculada e a configuração de API, que deveriam ser restritas a administradores.

Quando a chave secreta não está configurada, o que ocorre imediatamente após a ativação, o plugin não verifica se os callbacks de pagamento originam-se do provedor de pagamento legítimo. Isso permite que atacantes não autenticados alterem o status de pedidos arbitrários, como marcar pedidos não pagos como pagos e reduzir os níveis de estoque.

O plugin não aplica as restrições de acesso em todo o site na WordPress REST API. Isso permite que usuários não autenticados leiam o conteúdo de postagens e páginas publicadas que deveriam estar ocultas conforme a configuração do modo de acesso do site.

Dois manipuladores AJAX de administrador não realizam uma verificação de capacidade, o que permite que qualquer assinante autenticado leia os endereços de e-mail de outros usuários e acione uma ressincronização de CRM entre usuários.

A validação insuficiente do esquema URI em um valor fornecido pelo usuário permite que usuários com a função de contribuidor ou superior armazenem um payload malicioso. Este payload é executado no navegador de qualquer usuário que siga o link, incluindo administradores que visualizem prévias de envios não publicados.

A sanitização e a filtragem insuficientes de dados armazenados a partir de callbacks de pagamento permitem que usuários não autenticados armazenem scripts maliciosos. Esses scripts são executados na sessão de um administrador da loja ao serem visualizados em uma página administrativa. Este problema ocorre quando o gateway é habilitado sem credenciais, pois a verificação de integridade nos callbacks pode ser forjada.

O plugin falha ao aplicar as verificações de capacidade pretendidas em várias rotas de leitura REST. Isso permite que qualquer usuário autenticado acesse metadados de anexos e estatísticas de todo o site, informações que deveriam ser restritas a usuários com privilégios de administrador.