Darkestmode

O plugin está sujeito a Reflected Cross-Site Scripting (XSS), uma falha onde a aplicação inclui dados não confiáveis em uma página web sem a devida validação, permitindo que invasores executem scripts no navegador da vítima. Isso ocorre por meio de parâmetros de URL quando o modo iframe está ativo, devido à sanitização de entrada e escape de saída insuficientes. Atacantes não autenticados podem injetar scripts web arbitrários se um usuário for enganado a clicar em um link malicioso. Isso requer que a configuração `AI OPTION IFRAME` esteja habilitada em pelo menos um bloco de anúncio na página visada.

Ocorre a ausência de autorização na função `pagelist unqprfx ext shortcode()`, especificamente nos shortcodes '[pagelist ext]' e '[pagelistext]'. A função aceita os atributos `post status`, `post type` e `show meta key` controlados por um invasor e os passa diretamente para `get pages()` e `get post meta()` sem verificar se o usuário possui as permissões necessárias para ler os objetos correspondentes. Quando o post atual não possui páginas filhas, a consulta é reemitida com `child of` definido como 0, expandindo a busca para todas as páginas do site que correspondam ao status e tipo fornecidos. Isso permite que invasores autenticados com nível de acesso de contribuidor ou superior divulguem títulos, conteúdo do corpo, resumos e meta-dados arbitrários de páginas privadas e rascunhos ao inserir o shortcode em um rascunho de autoria do contribuidor e visualizá-lo.

Um problema de acesso não autorizado existe porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes autenticados com nível de acesso de assinante ou superior podem truncar todos os registros de log do SMTP2GO no banco de dados ou baixar uma exportação em CSV contendo dados sensíveis de log do SMTP, como endereços de destinatários, endereços de remetentes, assuntos de mensagens e dados de resposta da API.

O plugin é suscetível a Cross-Site Request Forgery (CSRF), uma falha onde um invasor engana a vítima para executar ações indesejadas. Isso ocorre porque a função `save widget context settings()` carece de validação adequada de nonce. Um nonce é um token único usado para verificar se uma solicitação foi enviada intencionalmente pelo usuário. Consequentemente, invasores não autenticados podem modificar as configurações de contexto de visibilidade do widget na tabela de opções do WordPress enviando uma solicitação POST forjada para o endpoint '/wp-admin/widgets.php', desde que consigam enganar um administrador do site para clicar em um link malicioso.

O Cross-Site Scripting Armazenado é possível através dos atributos `className`, `classHook` e `blockId` no bloco 'Add to Cart' ('essential-blocks/add-to-cart'). O problema ocorre na função `render callback()` devido à escape de saída insuficiente quando esses atributos são inseridos em atributos HTML de classe e data-id usando `sprintf()` e `implode()` sem a escape `esc attr()`. Atacantes autenticados com nível de acesso de Colaborador ou superior podem injetar scripts web arbitrários em páginas, que são executados quando um usuário visita a página afetada.

Uma Referência Direta a Objeto Insegura existe porque a função `OsStripeConnectController::create payment intent for transaction()` está registrada como uma ação pública que não requer autenticação. O sistema carrega faturas usando valores de `invoice id` inteiros sequenciais sem verificar a propriedade ou exigir uma chave de acesso. Isso permite que invasores não autenticados enumerem IDs de faturas válidos por meio de mensagens de erro e criem registros de intenção de transação não autorizados contendo dados financeiros sensíveis, incluindo `invoice id`, `order id`, `customer id` e `charge amount`. Além disso, em sites que utilizam Stripe Connect, a resposta vaza tokens `payment intent client secret`, valores de `transaction intent key` e valores de pagamento de qualquer fatura.

Name of the Vulnerable Software and Affected Versions Smart Slider 3 plugin para WordPress versões até e incluindo 3.5.1.33 Description O plugin Smart Slider 3 para WordPress é suscetível a acesso e modificação não autorizados de dados. Isso se deve à ausência de verificações de capacidade em múltiplas ações do controlador `wp ajax smart-slider3`. O método `display admin ajax()` carece de uma chamada para `checkForCap()`, que requer capacidade unfiltered html. Várias ações do controlador apenas validam o nonce (`validateToken()`) sem validar permissões. Isso permite que atacantes autenticados com acesso de nível de Contributor ou superior enumerem metadados do slider e criem, modifiquem e excluam registros de armazenamento de imagens aproveitando o `nextend nonce` exposto nas páginas de edição de postagens. Recommendations Atualize para uma versão além de 3.5.1.33

The plugin has a flaw allowing unauthorized data modification. This is due to an insufficient capability check on the Content Access Rules REST API endpoints. The `check permissions()` method only verifies the `edit posts` capability instead of requiring administrator-level permissions. Authenticated attackers with Contributor-level access or higher can list, create, modify, toggle, duplicate, and delete site-wide content restriction rules. This could lead to the exposure of restricted content or denial of access to legitimate users. The affected API endpoints are the Content Access Rules REST API endpoints. The vulnerable parameter is not specified.

The Smart Custom Fields plugin for WordPress has a flaw that allows unauthorized access to data. A missing capability check within the `relational posts search()` function permits authenticated attackers with Contributor-level access or higher to read private and draft post content from other authors. This is achieved through the `smart-cf-relational-posts-search` AJAX action, which queries posts with any status and returns complete post objects, including `post content`, but only verifies the generic `edit posts` capability instead of individual post access permissions.

The Social Icons Widget & Block plugin for WordPress is susceptible to unauthorized data modification. This occurs because of a missing capability check within the `add menu item()` function, which is connected to the `admin menu` action. The function uses `wp insert post()` and `update post meta()` to create sharing configurations without verifying that the current user has administrator-level permissions. This allows authenticated attackers with Subscriber-level access or higher to create a published wpzoom-sharing configuration post with default sharing button settings. Consequently, social sharing buttons are automatically injected into all post content on the frontend through the `the content` filter.