Chloe Chamberland

Existe uma falha de bypass de autorização devido à verificação inadequada antes do disparo de um action hook do WordPress. O problema ocorre quando o nome do hook é derivado de um valor de campo de formulário fornecido por um invasor através do placeholder [field] da `email message` de notificação e do token de dados dinâmicos `{action hook,...}`. Isso permite que invasores não autenticados invoquem action hooks arbitrários do WordPress, o que pode levar à destruição permanente do conteúdo do site, como a exclusão de posts, páginas e comentários na lixeira através da ação `wp scheduled delete`. Além disso, pode causar negação de serviço via `wp maybe auto update` ou permitir gravações privilegiadas se manipuladores de terceiros vulneráveis estiverem instalados. O mesmo pipeline permite a leitura cega de meta-dados arbitrários de usuários ou posts, embora o resultado seja entregue apenas ao proprietário do site. A exploração requer um formulário Avada publicado com envio AJAX e um modelo de notificação que contenha um placeholder `[all fields]` ou `[field]` explícito.

Atacantes não autenticados podem realizar a Execução Remota de Código no servidor através da função `parse array()` em `Element Classes::parse array()`. O problema decorre da validação insuficiente do mapa `classes` do widget, permitindo que um payload de array simples ignore a verificação de objeto `is safe widget instance()` e atinja um sumidouro de invocação chamável. Esta cadeia de ataque é acionada quando o `do blocks()` processa o HTML de evento único, incluindo a área de comentários. A exploração bem-sucedida requer que o site tenha comentários habilitados em postagens `tribe events` e que um comentário contendo um bloco `wp:legacy-widget` manipulado tenha sido enviado.

Atacantes não autenticados podem executar código remotamente no servidor devido a uma proteção insuficiente na função `is safe widget instance()`. O problema ocorre porque os métodos mágicos do PHP são acionados durante o pré-processamento (pre-parse), e a função `enable rendering widget copied()` pode forjar um atributo de integridade `wp hash` válido antes que a função `unserialize()` seja alcançada. Isso permite a Injeção de Objetos PHP. A falha é explorável quando os comentários estão habilitados e visíveis em eventos, pois o template de evento único V2 processa `do blocks()` sobre o HTML de comentários bufferizado. Um comentador não autenticado pode usar uma URL de hash de moderação para visualizar seu comentário pendente imediatamente, entregando a marcação de bloco injetada ao caminho de código vulnerável antes que a moderação ocorra.

O plugin Tutor LMS para WordPress é afetado por um problema de Injeção de Objeto PHP que pode levar à execução remota de código em mais de 100.000 sites em todo o mundo. A falha reside no manipulador AJAX `tutor save withdraw account` através do parâmetro `withdraw method field`. O manipulador carece de verificações adequadas de capacidade ou função, dependendo apenas de um nonce. O problema ocorre porque a função `esc sql()` é mal aplicada a valores armazenados via `update user meta()`, causando uma dessincronização no comprimento da serialização, onde a declaração de comprimento da string serializada fica 65 bytes maior que o conteúdo real. Isso permite que a função `unserialize()` realize uma leitura excessiva em chaves POST controladas pelo invasor e injete um fluxo de objeto serializado arbitrário. Atacantes com nível de acesso de assinante ou superior podem acionar a cadeia POP (Property-Oriented Programming) `GuzzleHttpCookieFileCookieJar` através do carregador `spl autoload register` em `TUTORRestAPI`, permitindo a gravação de conteúdo arbitrário em um arquivo no servidor. Isso pode ser explorado por usuários não autenticados se o registro de usuários e o recurso de monetização estiverem habilitados.

O plugin Post Grid and Gutenberg Blocks – ComboBlocks para WordPress contém uma falha de Unauthenticated Hook Injection. Este problema ocorre por meio de diversas funções no arquivo `~/includes/blocks/form-wrap/function.php`, permitindo que atacantes não autenticados executem ações usando hooks do WordPress, desde que não existam outros controles de segurança presentes na função.

Usuários autenticados com nível de acesso de autor ou superior podem elevar seus privilégios para administrador. O problema reside na função `save requests meta()`, que não realiza verificações de capacidade, como `current user can('promote users')` ou `current user can('manage options')`, e carece de validação de lista permitida (allowlist) para o parâmetro POST `user role set`. Como o tipo de post `wwp requests` é registrado com `capability type => 'post'`, autores que criaram uma solicitação podem acessar o nonce `request user role nonce` e enviar uma requisição manipulada com a variável `user role set` definida como `administrator` para obter controle administrativo total.

Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes autenticados com nível de acesso de contribuidor ou superior podem injetar scripts web arbitrários através do parâmetro `premium tooltip text`. A carga útil é executada quando um administrador ou usuário com privilégios superiores abre a postagem afetada no editor Elementor, pois a saída bruta não escapada é processada via função `print template()` registrada no hook `elementor/section/print template`.

Um problema de upload arbitrário de arquivos existe devido à validação insuficiente da extensão do arquivo. A função `ajax import media start()` utiliza `pathinfo()` em nomes de entrada ZIP brutos, que podem ser burlados usando um nome de arquivo com ponto final (ex: 'shell.php.'). Essa falha resulta em uma string vazia para a extensão, ignorando a verificação da lista de permissões. Subsequentemente, a função `import media file secure()` copia o arquivo para o diretório de uploads do WordPress sem validação adicional. Atacantes autenticados com nível de acesso de administrador ou superior podem explorar isso para fazer upload de arquivos executáveis, potencialmente levando à execução remota de código.

A sanitização de entrada e a escape de saída insuficientes permitem que atacantes autenticados com nível de acesso de contribuidor ou superior realizem Stored Cross-Site Scripting (XSS). Isso ocorre por meio do atributo `alignment`, permitindo a injeção de scripts web arbitrários em páginas que são executados quando acessados por outros usuários.

Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes autenticados com nível de acesso de assinante ou superior podem criar grupos de temporadas arbitrários ou modificar nomes de grupos, participantes e opções de tipo de rodada existentes. A exploração requer a obtenção do `joomsportajaxnonce`, que é exposto em páginas de frontend que renderizam um shortcode do JoomSport.

Existe um problema que permite que atacantes não autenticados realizem a escalada de privilégios via sequestro de conta. O plugin não valida adequadamente a identidade do usuário antes de atualizar detalhes da conta, como a redefinição de senhas. Isso permite que um atacante altere os endereços de e-mail de usuários arbitrários, incluindo administradores, para redefinir suas senhas e obter acesso total à conta. Este problema afeta especificamente sites onde a verificação de OTP (One-Time Password) para redefinição de senhas está habilitada e o usuário alvo possui um número de telefone configurado para a verificação de OTP.

Este problema envolve uma falha de Cross-Site Request Forgery (CSRF), que ocorre quando uma aplicação web não verifica se uma requisição foi intencionalmente iniciada pelo usuário. A falha existe na função `process request()` devido à validação de nonce ausente ou incorreta. Um invasor não autenticado pode explorar isso enganando um administrador do site para clicar em um link malicioso, permitindo que o invasor eleve os privilégios de quem envia o formulário para administrador ao criar uma tarefa de automação Chronos maliciosa executada via WordPress cron.

Uma falha de autorização existe no manipulador AJAX `joomsport season groupdel()`. O sistema não realiza uma verificação de capacidade, validando apenas um nonce antes de executar uma consulta DELETE em IDs de grupo fornecidos pelo usuário. Isso permite que usuários autenticados com nível de acesso Assinante (Subscriber) ou superior excluam registros de grupo arbitrários do JoomSport.

O plugin Groundhogg — CRM, Newsletters, and Marketing Automation para WordPress contém uma falha de SQL Injection. Atacantes autenticados com nível de acesso de Representante de Vendas ou superior podem anexar consultas SQL maliciosas a consultas existentes para extrair informações sensíveis do banco de dados. Isso ocorre devido à escape insuficiente de parâmetros fornecidos pelo usuário e à falta de preparação adequada da consulta SQL. O problema pode ser acionado por meio do parâmetro `query[select]`. Além disso, o caminho de código sanitizado `Contact Query` pode ser ignorado ao fornecer um tipo de filtro inválido no parâmetro `query[filters][0][0][type]`, o que dispara uma `FilterException` e força a aplicação a utilizar o caminho `Legacy Contact Query` não sanitizado.

A sanitização de entrada e a escape de saída insuficientes permitem que atacantes autenticados com nível de acesso de Colaborador (Contributor) ou superior realizem Stored Cross-Site Scripting. Isso é feito injetando scripts web arbitrários através do Post Meta `cpm point`, que são executados sempre que um usuário acessa a página afetada.

O plugin Groundhogg — CRM, Newsletters, and Marketing Automation para WordPress contém uma falha de SQL Injection genérica. Isso ocorre porque o software não escapa adequadamente a entrada fornecida pelo usuário e carece de preparação suficiente da consulta SQL. Atacantes autenticados com nível de acesso de profissional de marketing ou superior podem explorar isso adicionando consultas SQL maliciosas através do parâmetro `search` para extrair informações sensíveis do banco de dados.

O plugin Simple File List para WordPress contém uma falha onde a ausência de uma verificação de autorização no atributo de shortcode `frontmanage` permite que atacantes autenticados com nível de acesso de contribuidor ou superior realizem operações de arquivo não autorizadas. Essas operações incluem a exclusão, movimentação, criação de pastas e download de arquivos. Um atacante pode explorar isso criando um rascunho de postagem com o shortcode `eeSFL` e utilizando o endpoint de visualização de postagem para obter um nonce, que é um token único usado para prevenir falsificação de solicitações entre sites, para autorizar solicitações que ignoram as verificações no arquivo `includes/ee-list-ops-bar-process.php`.

O plugin Simple File List para WordPress contém verificações de autorização insuficientes que permitem que atacantes não autenticados excluam e modifiquem arquivos no servidor. Este problema ocorre na ação AJAX `simplefilelist edit job`. A falha persiste mesmo que a configuração `AllowFrontManage` esteja desativada, pois a função `is admin()` ignora incondicionalmente a guarda de segurança antes que a configuração seja avaliada.

O plugin Simple File List para WordPress contém uma falha que permite que atacantes não autenticados excluam arquivos arbitrários no servidor. Isso ocorre devido à validação insuficiente do caminho do arquivo na função `eeSFL DeleteFile()`, especificamente envolvendo o parâmetro `eeSubFolder`. O problema é acessível através da ação AJAX 'simplefilelist edit job', que está registrada para usuários não privilegiados. A proteção `is admin()` é ignorada porque ela retorna verdadeiro para todas as solicitações enviadas ao endpoint 'admin-ajax.php'. A exclusão de arquivos críticos, como 'wp-config.php', pode levar à execução remota de código (a capacidade de executar comandos arbitrários na máquina alvo).

O plugin está sujeito à exposição de informações sensíveis devido à autorização insuficiente e à falta de verificação de propriedade por calendário na função `cpabc appointments calendar load2()`. Esta função é acessível através do parâmetro de consulta `cpabc calendar load2=1` em 'wp-admin'. O sistema verifica apenas se o usuário é um administrador ou possui a capacidade `edit posts`, que é concedida a usuários com nível de acesso Colaborador (Contributor) ou superior. Consequentemente, invasores autenticados com esses privilégios podem fornecer um ID de calendário arbitrário através do parâmetro `id` para extrair dados de reserva de clientes, como nomes, endereços de e-mail, números de telefone, horários de reserva e comentários, de qualquer calendário gerenciado pelo plugin.