Daroo

O complemento Ninja Forms - File Uploads para WordPress permite que invasores não autenticados excluam arquivos arbitrários no servidor ou realizem a leitura de arquivos arbitrários via exfiltração para S3, Dropbox ou Google Drive. O problema reside na função `NF FU Fields Upload::process()` em `includes/fields/upload.php` e na função `NF FU External Abstracts Service::process upload()` em `includes/external/abstracts/service.php`. Ao omitir a variável `upload id`, um invasor pode fazer com que a variável `data[file path]` persista na fila de Upload em Segundo Plano. Esse valor é posteriormente utilizado pela função `upload file to s3()` como `SourceFile` e pela chamada `unlink()` da função `maybe delete server file()` em `includes/external/abstracts/backgroundupload.php`, sem a devida canonicalização ou verificações de contenção de diretório. A exclusão de arquivos críticos, como o `wp-config.php`, pode forçar a aplicação a entrar na tela de configuração, permitindo potencialmente a tomada total do controle do site e a execução remota de código.

A sanitização insuficiente de entrada e a escape de saída inadequada permitem que atacantes não autenticados realizem Stored Cross-Site Scripting. Isso ocorre por meio do `action hook` de Dynamic-Data de Notificação de Formulário através de uma Cadeia de Upload de Mídia envolvendo Metadados ID3 e `html attributes`. Um atacante pode injetar scripts web arbitrários em páginas que serão executados sempre que um usuário acessar a página injetada. A exploração bem-sucedida requer que um Fusion Form esteja incorporado em uma página criada por um administrador e que um elemento Post Cards configurado para exibir tipos de postagem de anexo esteja presente em uma página acessível ao público.

Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes não autenticados podem injetar scripts web arbitrários que são executados quando um usuário acessa uma página afetada. A exploração ocorre quando um administrador abre a tela de Submissões e clica no link Show-on-Map de uma entrada maliciosa, fazendo com que o valor de `field id` seja ecoado sem escape em uma string JavaScript dentro do popup `FormMakerEditCountryinPopup`. Este processo ignora verificações de segurança usando a sessão do administrador e o `fm ajax nonce` incorporado ao link. O problema envolve o parâmetro `wdform <n> element<id>` usado em campos de entrada ocultos.

A sanitização insuficiente de entrada e a escape de saída inadequada permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente em um servidor alvo. O problema ocorre através do parâmetro `comment`. A exploração requer que o site tenha as opções de indexação de comentários e destaque de comentários habilitadas. O script injetado é executado quando um visitante acessa uma página individual por meio de um link permanente de resultado de pesquisa do Relevanssi que inclua o parâmetro de consulta `highlight`.

Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes não autenticados podem injetar scripts web arbitrários em páginas que são executados quando um usuário as acessa. O endpoint `nf ajax submit` emite um nonce válido para qualquer solicitante em caso de falha, o que neutraliza a verificação de nonce e permite a exploração por meio de uma única requisição não autenticada usando o parâmetro `formData.extra`.

A sanitização insuficiente de entrada e a escape de saída inadequada permitem que atacantes não autenticados realizem Stored Cross-Site Scripting. Isso ocorre porque os campos Post Excerpt, Post Custom Field e Paragraph Text habilitados para Rich-Text-Editor permitem submissões de HTML bruto através da função `allow html()`. Um payload codificado em entidade armazenado em um atributo `data-dialog-confirm` pode burlar o `wp kses post()` durante o processo de salvamento e é subsequentemente decodificado em marcação executável pelo navegador quando o JavaScript do administrador utiliza a função `insertAdjacentHTML()`. Isso permite a execução de scripts web arbitrários quando um usuário acessa uma página afetada.

Ocorre Cross-Site Scripting Armazenado através do manipulador de conclusão de compra do SDK Freemius integrado devido à sanitização de entrada e escape de saída insuficientes. Quando a opção de adesão ao Freemius está ativa, o manipulador processa o parâmetro de requisição `purchased plan` em qualquer requisição wp-admin de um usuário autenticado sem exigir capacidades específicas, nonces ou validação de compra. A entrada é armazenada em um aviso administrativo persistente em todo o site, permitindo que atacantes autenticados com nível de acesso de assinante ou superior injetem scripts web arbitrários. Esses scripts são executados automaticamente quando um administrador visualiza uma página administrativa padrão, como a página de Perfil.

Existe uma falha de bypass de autenticação no manipulador de Login Social do Twitter/X. O problema ocorre na função `verify twitter callback()`, onde o manipulador não chama `setOauthToken()` após trocar o `oauth verifier` por um token de acesso. Consequentemente, a chamada de API `account/verify credentials` é assinada usando o Access Token e o Access Token Secret armazenados do operador do site, em vez do token do visitante. Isso faz com que a API do X retorne o perfil do proprietário do aplicativo, que o plugin então utiliza para autenticar uma conta do WordPress via `wp set auth cookie()` com base no endereço de e-mail do proprietário. Isso permite que invasores não autenticados obtenham acesso à conta associada ao proprietário do app do X, que geralmente é o administrador do site.

A escalada de privilégios é possível através de Injeção de Objeto PHP, que ocorre quando entradas não confiáveis são desserializadas. Este problema existe no ramo 'get-single-symbol' do dispatcher AJAX `kirki post apis()` devido à ausência de uma verificação de capacidade. Usuários autenticados com nível de acesso Assinante ou superior podem injetar um Objeto PHP. Ao utilizar uma POP chain (uma sequência de gadgets usada para executar código arbitrário durante a desserialização), um invasor pode sobrescrever a senha de um administrador para obter acesso administrativo total.

A sanitização insuficiente de entrada e a escape de saída inadequada permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente em um servidor alvo. O problema ocorre através do parâmetro `user email`. A exploração requer que o registro de usuários esteja habilitado no site. O script injetado é executado quando um Administrador realiza uma varredura de spam de usuário e visualiza a aba de usuários não verificáveis ou usuários de spam.

A sanitização insuficiente de entrada e a escape de saída inadequada permitem o Cross-Site Scripting Armazenado. Isso ocorre por meio do parâmetro `quantity` na API REST e do parâmetro `order comments` durante o checkout. Atacantes não autenticados podem injetar scripts web arbitrários que são executados quando um usuário acessa a página afetada. Se o checkout de convidado estiver habilitado, o ataque é totalmente não autenticado; caso contrário, usuários com privilégios de Assinante podem explorar esses vetores através de seu próprio checkout.

Um invasor não autenticado pode obter escalonamento de privilégios explorando a página `/my-calendar/`. O problema ocorre porque o parâmetro GET `mcs` é refletido no conteúdo da postagem sem sanitização antes da execução do filtro `do shortcode`. Isso permite a injeção de um shortcode aninhado `[my calendar above=...]`. A função `mc generate calendar nav()` então processa o atributo `above` e executa elementos via `call user func()` sem verificações de autenticação ou autorização. Ao invocar funções PHP arbitrárias, um invasor pode passar a array `$params` para `edit user()`, que o PHP converte para o inteiro `1` como argumento `$user id`. Esse processo sobrescreve as credenciais da conta Administradora principal, concedendo ao invasor acesso administrativo total ao painel do WordPress.

O Backuply está sujeito a uma Injeção de SQL de segunda ordem que permite que usuários autenticados com nível de acesso de assinante ou superior escalem privilégios e assumam o controle total de um site. O problema ocorre quando um usuário insere uma string manipulada no campo de Informações Biográficas de seu perfil. Embora o plugin exporte esse valor em um dump de SQL de backup, a falha é ativada durante o processo de restauração. Especificamente, o plugin usa uma expressão regular não ancorada para identificar prefixos de tabela que não ignora valores entre aspas. Se as Informações Biográficas contiverem a string `backuply version`, a carga útil manipulada é executada em uma consulta `UPDATE` com privilégios totais de banco de dados. Este primitivo permite que invasores modifiquem registros do banco de dados, como atualizar a opção `default role` em `wp options` para administrador e habilitar o registro aberto de usuários. Consequentemente, qualquer conta registrada posteriormente recebe automaticamente a função de Administrador. Este problema afeta mais de 600.000 instalações ativas.

A sanitização insuficiente de entrada e a escape inadequada de saída permitem que atacantes não autenticados realizem Cross-Site Scripting (XSS) Armazenado via conteúdo de comentários. Isso ocorre por meio de uma técnica de mutation XSS (mXSS) envolvendo a Restauração de Chave de Ruído do Simple HTML DOM Parser. O ataque requer que o recurso de Bloqueio de Script esteja habilitado e envolve o envio de dois comentários coordenados: um contendo sintaxe de manipulador de eventos dentro de um elemento `<code>` e outro contendo uma chave de restauração ` noise ` determinística dentro de um atributo `<abbr title="">`. O deslocamento da chave pode ser verificado usando uma requisição não autenticada ao parâmetro `wpconsent debug=1`. Isso permite a injeção de scripts web arbitrários que são executados quando um usuário visita a página afetada.

A sanitização de entrada e a escape de saída insuficientes permitem que atacantes autenticados com nível de acesso de assinante ou superior realizem Stored Cross-Site Scripting. Isso ocorre por meio do parâmetro `purchased plan` ao acessar o endpoint '/wp-admin/profile.php'. A exploração é possível se o proprietário do site tiver concluído o fluxo de opt-in padrão do Freemius, permitindo que o atacante injete scripts web arbitrários que são executados quando um usuário visita a página afetada.

Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes não autenticados podem injetar scripts web arbitrários através do parâmetro `comment`. Esses scripts são executados sempre que um usuário acessa a página afetada. A exploração bem-sucedida requer que o site permita a submissão de comentários não moderados em pelo menos uma postagem e tenha um idioma secundário configurado.

Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes não autenticados podem injetar scripts web arbitrários em páginas que serão executados sempre que um usuário as acessar. O problema é desencadeado através do parâmetro `author`, onde um nome de autor de comentário contendo ` src=` e um payload de manipulador de eventos pode ignorar a função `sanitize text field`. A função `str replace()` do plugin então injeta uma aspa simples que permite ao payload sair do contexto do atributo dentro do atributo alt.

Ocorre Cross-Site Scripting Refletido devido à sanitização de entrada e escape de saída insuficientes. Atacantes não autenticados podem injetar scripts web arbitrários em páginas ao enganar um usuário para clicar em um link. O problema existe porque o parâmetro `lang` é processado através da função `set active language()` em `Fusion Multilingual` e concatenado em uma URL pela função `get setting link()` em `Fusion Settings` sem a aplicação de `urlencode()`, `esc url()` ou `esc attr()` antes de ser exibido em um atributo href com aspas duplas no metabox do editor de postagens.

O plugin Download Manager para WordPress contém um problema de Stored Cross-Site Scripting causado por sanitização de entrada e escape de saída insuficientes. Usuários autenticados com nível de acesso de assinante ou superior podem injetar scripts web arbitrários através do campo de nome de exibição. Esta exploração é possível quando o shortcode `[wpdm edit profile]` está presente em uma página frontal acessível a esses usuários, permitindo que eles ignorem a sanitização usando um payload com codificação de entidade múltipla. Os scripts injetados são executados sempre que um usuário visita a página afetada.

Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Isso permite que atacantes não autenticados injetem scripts web arbitrários através do parâmetro `comment`. Esses scripts são executados automaticamente sempre que um usuário acessa a página afetada.