Craig Smith

O plugin está sujeito a cross-site scripting (XSS) armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes autenticados com nível de acesso de contribuidor ou superior podem injetar scripts web arbitrários através do parâmetro `data-image-title`. Esses scripts são executados sempre que um usuário visita a página afetada.

O plugin está sujeito a Stored Cross-Site Scripting (XSS), uma falha onde scripts maliciosos são armazenados permanentemente no servidor alvo. Isso ocorre devido à sanitização de entrada e escape de saída insuficientes em múltiplos shortcodes. Atacantes autenticados com nível de acesso de Assinante (Subscriber) ou superior podem injetar scripts web arbitrários em páginas. Esses scripts são executados quando um usuário, normalmente um administrador, acessa uma página que exibe dados dinâmicos do usuário, como informações biográficas recuperadas através do recurso Dynamic Data.

O tema Betheme para WordPress permite que atacantes autenticados com nível de acesso de autor ou superior façam o upload de arquivos arbitrários, incluindo scripts PHP. Isso ocorre porque a função `upload icons()` move e descompacta arquivos ZIP controlados pelo usuário em um diretório de uploads público sem validar os tipos de arquivos extraídos. Essa falha pode levar à execução remota de código por meio do fluxo de upload de pacotes de ícones (Icons icon-pack).

O tema Betheme para WordPress permite que atacantes autenticados com nível de acesso de contribuidor ou superior movam ou excluam arquivos locais arbitrários via path traversal (travessia de diretório). Isso ocorre porque a função `upload icons()` utiliza um caminho de upload controlado pelo usuário `mfn-icon-upload` em uma operação de movimentação de sistema de arquivos sem restringi-lo ao diretório de uploads.

Ocorre Cross-Site Scripting Armazenado quando o script `fancybox-config.js` lê o atributo `id` do contêiner do carrossel diretamente do DOM para construir um seletor jQuery sem sanitização. Se um usuário com nível de acesso de Colaborador ou superior criar um bloco HTML com um ID de contêiner de carrossel malformado, a configuração personalizada falha, fazendo com que a biblioteca fancybox integrada (v3.5.7) renderize o atributo `data-caption` como HTML bruto. Isso permite que atacantes autenticados injetem scripts web arbitrários que são executados quando um usuário clica em uma imagem no lightbox do carrossel manipulado.

O plugin está sujeito a Local File Inclusion devido à sanitização insuficiente do parâmetro de nome de template na função `lae get template part()`. A implementação utiliza um método `str replace()` inadequado que pode ser burlado usando padrões de travessia de diretório recursivos. Isso permite que atacantes autenticados com nível de acesso de Colaborador ou superior incluam e executem arquivos locais arbitrários no servidor ao manipular o parâmetro de template do widget.

O plugin permite que atacantes autenticados com nível de acesso Assinante (Subscriber) ou superior executem hooks de ação arbitrários do WordPress por meio do recurso Dynamic Data. Isso ocorre porque a função `output action hook()` aceita entrada controlada pelo usuário para disparar hooks de ação registrados do WordPress sem as devidas verificações de autorização. Essa falha pode levar à escalada de privilégios, inclusão de arquivos ou negação de serviço, dependendo dos hooks de ação disponíveis na instalação do WordPress.

O plugin contém um problema de exposição de informações sensíveis. A função `fusion get post custom field()` não valida se as chaves de metadados são protegidas por um prefixo de sublinhado. Isso permite que atacantes autenticados com nível de acesso Assinante (Subscriber) ou superior extraiam campos de metadados de postagens protegidos por meio do parâmetro `post custom field` do recurso Dynamic Data.

Name of the Vulnerable Software and Affected Versions O plugin Element Pack Addons for Elementor para WordPress versões até e incluindo 8.4.2 Description O plugin Element Pack Addons for Elementor para WordPress é vulnerável a Cross-Site Scripting (XSS) armazenado através do Widget de Imagem SVG. Isso ocorre devido à sanitização e escape de saída insuficientes do conteúdo SVG recuperado de URLs remotos dentro da função `render svg()`. A função usa `wp safe remote get()` para buscar o conteúdo SVG e, em seguida, o emite diretamente sem a devida sanitização, aplicando apenas um `preg replace()` para modificar a tag SVG, o que não elimina manipuladores de eventos maliciosos. Isso permite que invasores autenticados com acesso de nível de Contributor ou superior injetem JavaScript arbitrário em arquivos SVG, que será executado quando um usuário visualizar uma página contendo o widget comprometido. Recommendations Para versões até e incluindo 8.4.2, atualize para uma versão mais recente que resolva este problema. Como medida temporária, evite usar o Widget de Imagem SVG com URLs remotas.

Name of the Vulnerable Software and Affected Versions wpForo Forum plugin para WordPress versões até e incluindo 2.4.16 Description O plugin wpForo Forum para WordPress é suscetível à exclusão arbitrária de arquivos devido à falta de validação do nome/caminho do arquivo contra sequências de travessia de caminho. Atacantes autenticados com acesso de nível de assinante ou superior podem excluir arquivos arbitrários no servidor, incorporando uma string de travessia de caminho criada no corpo de uma postagem do fórum e, em seguida, excluindo a postagem. Recommendations Atualize o plugin wpForo Forum para uma versão posterior a 2.4.16.

Name of the Vulnerable Software and Affected Versions Plugin Xpro Addons — 140+ Widgets for Elementor para WordPress versões até e incluindo 1.4.20 Description O plugin Xpro Addons — 140+ Widgets for Elementor para WordPress é vulnerável a Cross-Site Scripting Persistente através da configuração 'onClick Event' do Widget de Preços. A sanitização e o escape de saída insuficientes permitem que atacantes autenticados com acesso de nível de colaborador ou superior injetem scripts web maliciosos em páginas. Esses scripts serão executados quando um usuário acessar a página comprometida. Recommendations Atualize o plugin Xpro Addons — 140+ Widgets for Elementor para WordPress para uma versão posterior a 1.4.20.

Name of the Vulnerable Software and Affected Versions Plugin King Addons for Elementor para WordPress versões até e incluindo 51.1.38 Description O plugin King Addons for Elementor para WordPress é suscetível a múltiplas vulnerabilidades de Cross-Site Scripting (XSS) baseado em DOM e armazenado para Contributor+. Isso é resultado de sanitização de entrada inadequada e escape de saída em vários widgets e recursos. O plugin utiliza `esc attr()` e `esc url()` dentro de manipuladores de eventos inline JavaScript (atributos onclick), o que permite que entidades HTML sejam decodificadas pelo DOM, permitindo que invasores escapem do contexto JavaScript. Vários arquivos JavaScript empregam métodos de manipulação de DOM inseguros (literais de template, .html() e `window.location.href` com URLs não validados) com dados controlados pelo usuário. Isso permite que invasores autenticados com acesso de nível Contributor ou superior injetem scripts web arbitrários por meio das configurações do widget Elementor. Esses scripts são executados quando um usuário acessa a página injetada ou quando um administrador visualiza a página no editor do Elementor. Recommendations Versões até e incluindo 51.1.38 devem ser atualizadas para a versão 5.1.51 ou posterior.

The Sina Extension for Elementor plugin for WordPress is susceptible to Stored Cross-Site Scripting. This occurs due to inadequate input sanitization and output escaping in the `Fancy Text Widget` and `Countdown Widget` DOM attributes. Authenticated attackers with Contributor-level access or higher can inject malicious web scripts into pages. These scripts will then execute whenever a user accesses the compromised page.

O software está suscetível a Cross-Site Scripting Armazenado por meio do parâmetro `a13 alt link`. A sanitização de entrada e o escape de saída insuficientes permitem que atacantes autenticados com acesso de nível de Contribuidor ou superior injetem scripts web arbitrários nas páginas. Esses scripts serão executados quando um usuário acessar a página injetada.

O plugin wpForo Forum para WordPress está suscetível a Injeção de Objeto PHP devido à desserialização de entrada não confiável dentro da função `wpforo display array data`. Isso permite que atacantes autenticados com acesso de nível de Assinante ou superior injetem um Objeto PHP. O impacto deste problema é limitado, a menos que outro plugin ou tema contendo uma cadeia de Payload de Objeto PHP (POP) esteja instalado no site. Se uma cadeia POP estiver presente, um atacante pode ser capaz de realizar ações como excluir arquivos arbitrários, recuperar dados sensíveis ou executar código.

O plugin WPZOOM Addons for Elementor – Starter Templates & Widgets para WordPress possui uma falha que permite acesso não autorizado a dados. Isso se deve à ausência de uma verificação de capacidade na função `ajax post grid load more`. Um atacante não autenticado pode recuperar títulos e excertos de posts protegidos (rascunho, futuro, pendente) que não deveriam estar publicamente acessíveis.

O plugin BlockArt Blocks para WordPress está suscetível a Cross-Site Scripting Armazenado. Isso se deve à sanitização inadequada de entrada e escape de saída de atributos fornecidos pelo usuário dentro do BlockArt Counter. A exploração bem-sucedida permite que atacantes autenticados com acesso de nível de contribuidor ou superior injetem scripts web arbitrários em páginas. Esses scripts serão executados quando um usuário acessar a página comprometida.

O plugin Nexter Extension – Kit de Ferramentas de Aprimoramento do Site para WordPress é vulnerável à Injeção de Objeto PHP devido à desserialização de entradas não confiáveis na função `nxt unserialize replace`. Isso permite que atacantes não autenticados injetem um Objeto PHP. O impacto deste problema é limitado a menos que outro plugin ou tema contendo uma cadeia de Payload de Objeto PHP (POP) esteja instalado. Se uma cadeia POP estiver presente, um atacante poderá realizar ações como excluir arquivos arbitrários, recuperar dados sensíveis ou executar código.

O plugin Jeg Elementor Kit para WordPress é suscetível a Cross-Site Scripting Armazenado devido à sanitização inadequada de entrada na funcionalidade de redirecionamento do widget de contagem regressiva. Isso permite que atacantes autenticados com nível de acesso Contribuidor ou superior injetem código JavaScript arbitrário. O código injetado será executado quando um administrador ou outro usuário visualizar a página contendo o elemento de contagem regressiva malicioso. O componente vulnerável é o widget de contagem regressiva e sua funcionalidade de redirecionamento. O parâmetro vulnerável é a URL de redirecionamento dentro do widget de contagem regressiva.

O tema Phlox para WordPress é vulnerável a Cross-Site Scripting Armazenado através do atributo HTML `data-caption`. Sanitização de entrada e escape de saída insuficientes permitem que atacantes autenticados com acesso de nível de Contribuidor ou superior injetem scripts web arbitrários nas páginas. Esses scripts serão executados quando um usuário acessar a página afetada. O parâmetro vulnerável é `data-caption`.