Daroo

The UsersWP plugin for WordPress is vulnerable to Arbitrary File Deletion in versions up to, and including, 1.2.70 via the upload file remove() AJAX handler. The plugin stores the value of an account 'file' form field taken directly from $ POST when no real $ FILES upload is provided (process account() calls uwp validate fields() and array merges the result with the empty output of UsersWP Files::validate uploads()). At storage time the value is only checked with validate file(), which passes any string that does not contain a literal '../'. When the value is later processed by upload file remove(), it is again gated with validate file() and then normalized through uwp get file relative url(); that helper performs a global str replace() of the uploads base URL against the stored URL, allowing a crafted URL containing embedded '..<uploads-baseurl>' tokens to collapse into '../../' traversal sequences after the last validation. The transformed value is then appended to the uploads base directory and passed to wp delete file() without any canonical containment check. This makes it possible for authenticated attackers, with Subscriber-level access and above, to delete arbitrary files on the affected site's server (including wp-config.

The Kirki – Freeform Page Builder, Website Builder & Customizer plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the ‘comment’ parameter in all versions up to, and including, 6.2.0 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

The AcyMailing – An Ultimate Newsletter Plugin and Marketing Automation Solution for WordPress plugin for WordPress is vulnerable to Directory Traversal in all versions up to, and including, 11.0.4 via the `user[name]` Parameter. This makes it possible for unauthenticated attackers to read the contents of arbitrary files on the server, which can contain sensitive information. Exploitation requires "Embed images" option in AcyMailing configuration being enabled.

The User Profile Builder – Beautiful User Registration Forms, User Profiles & User Role Editor plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'Biographical Info' meta field parameter in all versions up to, and including, 3.15.7 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

The iubenda | All-in-one Compliance for GDPR / CCPA Cookie Consent + more plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Comment Content in all versions up to, and including, 3.13.4 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The exploit works by embedding KSES-allowed markup such as abbr title attributes and HTML comments in a submitted comment so that the global strtr() substitution strips substrings from an inert tag, mutating it into an executable element such as an img onerror handler that runs in the WordPress origin for any visitor, including logged-in administrators.

**Nome do Software Vulnerável e Versões Afetadas** Welcart e-Commerce plugin for WordPress versões anteriores a 2.12.2 **Descrição** Ocorre uma Injeção de Objeto PHP devido à desserialização de entrada não confiável no callback de pagamento Telecom EDY `usces action acting transaction()`. Atacantes não autenticados podem armazenar pares de chave/valor `reserve` arbitrários como metadados de pedido durante um checkout público. Ao invocar o callback com um parâmetro `option` específico, o atacante pode acionar a desserialização desses metadados sem verificações de assinatura do provedor, endereço de origem, identidade da transação ou propriedade. Uma cadeia POP (Property Oriented Programming)—uma técnica usada para executar código aproveitando classes existentes na aplicação—está presente na biblioteca TCPDF incluída no plugin. Isso permite que atacantes excluam arquivos arbitrários no servidor, como o `wp-config.php`, podendo levar à execução remota de código se o instalador do WordPress for executado novamente contra um banco de dados controlado pelo atacante. A exploração bem-sucedida depende de um administrador imprimir uma fatura para disparar a exclusão do arquivo. **Recomendações** Atualize o Welcart e-Commerce plugin for WordPress para a versão 2.12.2 ou posterior.

The SureForms – Contact Form Builder, AI Forms, Payment Form, Survey & Quiz plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Text Field Entity-Encoded Payload in all versions up to, and including, 2.12.2 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

The Gravity Forms plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Post Body Field Value in all versions up to, and including, 2.10.5 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The exploit survives save-time sanitization because wp kses post allows the required HTML tags and attributes, and the client-side tooltip script re-parses the browser-decoded aria-label value as innerHTML while only stripping script elements, leaving onerror and other event-handler attributes fully intact and executable.

The Customer Reviews for WooCommerce plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the aggregated review form submission in versions up to and including 5.106.0. This is due to insufficient input sanitization and output escaping on user-supplied review comment text. The plugin accepts review submissions from unauthenticated users through the 'cr local forms submit' AJAX action without sanitizing HTML content before storing it via wp insert comment(), and later renders this stored content on product pages through comment text() without proper escaping. This makes it possible for unauthenticated attackers with a valid review form URL (obtainable through review reminder emails sent to customers who placed orders) to inject arbitrary web scripts in pages that will execute whenever a user accesses the affected product page.

**Nome do Software Vulnerável e Versões Afetadas** TranslatePress – Translate Multilingual sites with AI Translation versões anteriores a 3.3.4 **Descrição** Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes não autenticados podem injetar scripts web arbitrários em páginas que serão executados sempre que um usuário acessar a página injetada. Isso é possível porque a lista de permissões KSES de comentários do WordPress permite uma estrutura de payload composta por uma tag de âncora com atributos `href` e `title` junto a uma tag `code`, fazendo com que o comentário malicioso seja armazenado literalmente no banco de dados e, posteriormente, processado pelo parser HTML vulnerável durante a tradução da página. **Recomendações** Atualize para a versão 3.3.4 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** GiveWP – Donation Plugin and Fundraising Platform versões anteriores a 4.14.5 **Descrição** Ocorre Cross-Site Scripting (XSS) Armazenado através do shortcode 'give form'. O problema decorre da sanitização de entrada e escape de saída insuficientes nos atributos de shortcode `continue button title` e `display style`. Embora esses atributos sejam processados pela função `sanitize text field()`, eles não são devidamente escapados quando renderizados em atributos de dados HTML. Isso permite que atacantes autenticados com nível de acesso Colaborador ou superior injetem scripts web arbitrários em páginas, que são executados sempre que um usuário acessa a página afetada. **Recomendações** Atualize para a versão 4.14.5 ou posterior. Restrinja o uso dos atributos `continue button title` e `display style` dentro do shortcode 'give form' até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** Forminator Forms – Contact Form, Payment Form & Custom Form Builder versões anteriores a 1.57.0.2 **Description** A sanitização de entrada e a codificação de saída insuficientes no campo Rich-Text Textarea permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente no servidor alvo. Isso permite a injeção de scripts web arbitrários em páginas que são executados sempre que um usuário as acessa. A exploração é possível apenas se a opção de editor Rich-Text do campo Textarea for habilitada. **Recommendations** Atualize o Forminator Forms – Contact Form, Payment Form & Custom Form Builder para a versão 1.57.0.2 ou posterior. Como medida de mitigação temporária, desative a opção de editor Rich-Text para todos os campos Textarea.

**Nome do Software Vulnerável e Versões Afetadas** Like Button Rating versões anteriores a 2.6.62 **Descrição** Existe um problema de SQL Injection que permite que usuários com privilégios de assinante executem consultas de banco de dados não autorizadas. **Recomendações** Atualize o Like Button Rating para a versão 2.6.62 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Booking and Rental Manager versões anteriores a 2.7.6 **Descrição** Existe um problema que permite a Injeção de Objetos PHP, uma técnica na qual um invasor utiliza a desserialização de dados não confiáveis para instanciar objetos arbitrários e executar código malicioso dentro da aplicação. **Recomendações** Atualize para uma versão posterior a 2.7.5.

**Nome do Software Vulnerável e Versões Afetadas** Music Player for WooCommerce versões anteriores a 1.9.0 **Descrição** Cross Site Scripting (XSS) não autenticado permite que um invasor execute scripts maliciosos no navegador de um usuário sem a necessidade de autenticação. **Recomendações** Atualize o Music Player for WooCommerce para a versão 1.9.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Formidable Forms – WordPress Form Builder for Contact Forms, Calculators, Quizzes & More versões anteriores a 6.33.2 **Descrição** Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes não autenticados podem injetar scripts web arbitrários em páginas que são executados sempre que um usuário as acessa. Ao forjar o parâmetro `frm user id` para corresponder ao ID de usuário de um administrador, que pode ser obtido via API REST pública do WordPress, o atacante faz com que o `wp kses post()` sirva como o único filtro de saída. Isso permite que a carga útil injetada permaneça estruturalmente intacta, a qual o JavaScript de administração do plugin decodifica e executa automaticamente ao carregar a página. **Recomendações** Atualize para a versão 6.33.2 ou posterior. Como medida de mitigação temporária, restrinja o acesso ao parâmetro `frm user id` para evitar manipulações não autorizadas.

The Mang Board WP plugin for WordPress is vulnerable to Missing Authorization via Authentication Cookie Forgery in all versions up to, and including, 2.3.7. This is due to flawed HMAC generation in the mbw get hash key() function that uses the current user's identity instead of the cookie username parameter when a WordPress user is logged in, combined with insufficient validation in mbw validate auth cookie(). This makes it possible for authenticated attackers, with subscriber-level access and above, to forge administrator authentication cookies and change administrator passwords to achieve complete site takeover.

**Nome do Software Vulnerável e Versões Afetadas** Forminator Forms – Contact Form, Payment Form & Custom Form Builder versões anteriores a 1.57.0.3 **Description** A sanitização insuficiente de entrada e a escape inadequada de saída permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente em um servidor alvo. O problema ocorre porque o endpoint AJAX de submissão de rascunho Save-and-Continue está registrado como `nopriv`, permitindo que atacantes ignorem a validação de associação de opções do campo de rádio. Isso possibilita a persistência de um payload manipulado que é executado automaticamente através do vínculo de callback de atributo de dados da biblioteca Inputmask incluída quando a página de administração de Submissões é acessada. **Recommendations** Atualize o Forminator Forms – Contact Form, Payment Form & Custom Form Builder para a versão 1.57.0.3 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** WebToffee WooCommerce PDF Invoices, Packing Slips, Delivery Notes & Shipping Labels versões anteriores a 4.9.9 **Descrição** Existe um problema na função `get image src in base64()` que permite que usuários autenticados com nível de acesso de assinante ou superior realizem Directory Traversal. Isso possibilita a leitura de arquivos arbitrários no servidor, podendo expor informações sensíveis. O processo envolve o parâmetro `customer note`, onde o conteúdo do arquivo codificado em base64 é incorporado ao HTML da fatura em cache e entregue através dos endpoints de Impressão/Download de faturas do plugin usando um nonce e uma chave de acesso válidos. **Recomendações** Atualize para uma versão posterior a 4.9.8. Como medida de mitigação temporária, restrinja o acesso à função `get image src in base64()` ou ao parâmetro `customer note` até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** WPForms Pro versões anteriores a 2.0.0.3 **Descrição** A sanitização de entrada e a escape de saída insuficientes permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS). Isso ocorre quando scripts web arbitrários são injetados por meio de valores de campos de Texto de Linha Única e Texto de Parágrafo, que são executados sempre que um usuário acessa a página afetada. O problema decorre do filtro `wp kses allowed html` que expande a lista de permissões 'post' para permitir elementos `iframe` com o atributo `data-src`. Como o `data-src` não está na lista de sanitização de atributos URI padrão do WordPress, uma URI `javascript:` pode ignorar o processamento e ser convertida em um atributo `src` ativo pelo script de administração `view-entry.min.js`. **Recomendações** Atualize para uma versão posterior à 2.0.0.2.