Bonds

O tema Shuffle para WordPress contém uma falha de Local File Inclusion (Inclusão de Arquivo Local). Isso permite que atacantes não autenticados incluam e executem arquivos arbitrários no servidor, possibilitando a execução de código PHP dentro desses arquivos. Este problema pode ser utilizado para ignorar controles de acesso, recuperar dados sensíveis ou alcançar a execução remota de código caso imagens ou outros tipos de arquivos aparentemente seguros possam ser carregados e posteriormente incluídos.

O tema Flatsome para WordPress contém um problema de controle de acesso quebrado causado por uma verificação de capacidade ausente em uma função. Isso permite que usuários autenticados com permissões de nível de assinante ou superior realizem ações não autorizadas.

O tema Flatsome para WordPress contém um problema de controle de acesso quebrado causado por uma verificação de capacidade ausente em uma função. Isso permite que atacantes autenticados com permissões de nível de contribuidor ou superior realizem ações não autorizadas.

Existe um problema de Cross Site Scripting (XSS) não autenticado, que permite a um invasor executar scripts maliciosos no navegador de um usuário sem a necessidade de autenticação prévia.

Ocorre Cross-Site Scripting (XSS) Refletido devido à sanitização de entrada e escape de saída insuficientes. Isso permite que atacantes não autenticados injetem scripts web arbitrários em páginas, que são executados quando um usuário é enganado para realizar uma ação, como clicar em um link.

Uma falha de cross-site scripting (XSS) não autenticada permite que conteúdo de script malicioso seja injetado por meio de entrada controlada pelo usuário renderizada pelo plugin. O problema decorre da validação de entrada e escape de saída inadequados, permitindo a execução de scripts armazenados ou refletidos em páginas geradas pelo plugin. Um invasor remoto pode enviar payloads manipulados que executam código do lado do cliente no navegador de visitantes ou administradores do site, podendo levar ao sequestro de sessão, roubo de credenciais, falsificação de ações administrativas e controle total do site.

Um problema de Inclusão de Arquivo Local (LFI) não autenticado existe no tema WordPress Kastell. Local File Inclusion é uma falha que permite a um invasor incluir arquivos no servidor por meio da aplicação web, podendo levar à divulgação de informações sensíveis.

O PHP Object Injection não autenticado permite que um invasor injete objetos maliciosos na aplicação. O PHP Object Injection ocorre quando a entrada fornecida pelo usuário é passada para a função `unserialize()` sem a validação adequada, podendo levar à execução remota de código.

Uma Injeção de SQL não autenticada existe devido à escape insuficiente de parâmetros fornecidos pelo usuário e à falta de preparação adequada das consultas SQL. Isso permite que atacantes anexem consultas SQL adicionais a consultas existentes para extrair informações sensíveis do banco de dados.

Existe uma Injeção de SQL não autenticada no plugin wpDataTables. A Injeção de SQL é um tipo de vulnerabilidade que permite que um invasor interfira nas consultas que um aplicativo faz ao seu banco de dados, potencialmente permitindo que ele visualize dados que normalmente não conseguiria recuperar.

Uma Injeção de SQL não autenticada permite que um invasor interfira nas consultas que uma aplicação faz ao seu banco de dados. Isso ocorre no plugin JetSearch para WordPress.

Uma falha de autorização ausente permite a exploração de níveis de segurança de controle de acesso configurados incorretamente.

Uma falha de autorização ausente no Wpmet ElementsKit Elementor addons Lite permite a exploração de níveis de segurança de controle de acesso configurados incorretamente. Trata-se de uma falha de controle de acesso interrompido, na qual o sistema não verifica adequadamente se um usuário possui as permissões necessárias para realizar uma ação.

Uma falha de autorização ausente no Wpmet ElementsKit Elementor addons Lite permite a exploração de níveis de segurança de controle de acesso configurados incorretamente. Trata-se de uma falha de controle de acesso interrompido, na qual o sistema não verifica adequadamente se um usuário possui as permissões necessárias para realizar uma ação.

O Elementra está suscetível a PHP Object Injection, uma condição em que uma aplicação desserializa entradas não confiáveis, permitindo que um invasor injete um Objeto PHP. Embora não haja uma POP chain (uma sequência de gadgets usada para alcançar a execução de código) presente no próprio software, a presença de uma POP chain via outro plugin ou tema instalado poderia permitir que um invasor não autenticado execute código, recupere dados sensíveis ou exclua arquivos arbitrários.

Name of the Vulnerable Software and Affected Versions Brainstorm Force Ultimate Addons for WPBakery Page Builder versões anteriores a 3.21.4 Description Brainstorm Force Ultimate Addons for WPBakery Page Builder é suscetível a um problema de Cross-Site Scripting (XSS) baseado em DOM devido à neutralização inadequada de entrada durante a geração de páginas web. Isso permite a potencial execução de código malicioso dentro do contexto do navegador de um usuário. Recommendations Atualize o Brainstorm Force Ultimate Addons for WPBakery Page Builder para a versão 3.21.4 ou posterior.

An issue exists in ThemeFusion Avada Core fusion-core that allows for DOM-Based Cross-site Scripting (XSS). This occurs due to improper neutralization of input during web page generation. The issue affects the way user-supplied data is handled, potentially allowing an attacker to inject malicious scripts into web pages viewed by other users.

An authorization issue exists in ThemeFusion Fusion Builder’s `fusion-builder`. This allows exploitation of incorrectly configured access control security levels.

A missing authorization issue exists in ThemeFusion Fusion Builder, allowing exploitation of incorrectly configured access control security levels. The issue allows unauthorized access due to improper configuration of access controls.

A missing authorization check exists in ThemeFusion Avada Core `fusion-core`, allowing exploitation of incorrectly configured access control security levels. The issue allows unauthorized access due to improperly set security controls.