Dmitry Ignatyev

A sanitização e a filtragem insuficientes de certas configurações antes de serem exibidas em páginas front-end permitem que usuários com altos privilégios, como Administradores, executem ataques de Cross-Site Scripting (XSS) Armazenado. Isso ocorre especificamente quando a capacidade `unfiltered html` está desativada, o que é comum em ambientes de rede multisite. XSS Armazenado é um tipo de ataque onde scripts maliciosos são armazenados permanentemente no servidor alvo.

A sanitização e a filtragem insuficientes de um parâmetro antes de ser refletido em páginas administrativas permitem o Cross-Site Scripting (XSS) Refletido. Isso ocorre quando um administrador autenticado é enganado para clicar em um link malicioso, permitindo a execução de scripts web arbitrários na sessão do administrador.

A sanitização insuficiente de entrada e a falta de escape de saída no Classic lightbox permitem que usuários autenticados com funções de Colaborador ou superior realizem ataques de Cross-Site Scripting (XSS) Armazenado. Isso ocorre porque o plugin não escapa a URL dos links antes de inseri-los na página como HTML, permitindo a injeção de scripts web arbitrários que são executados quando um usuário acessa a página afetada.

Ocorre Cross-Site Scripting (XSS) Armazenado porque o plugin não sanitiza nem escapa os dados de formulários enviados e armazenados como entradas de lead antes de exibi-los na metabox de depuração de leads. Isso permite que atacantes não autenticados armazenem scripts maliciosos que são executados quando um usuário logado visualiza a entrada com o modo de depuração ativado.

O plugin Photo Gallery by 10Web – Mobile-Friendly Image Gallery para WordPress contém um problema de Reflected Cross-Site Scripting. Isso ocorre devido à sanitização de entrada e escape de saída insuficientes ao processar o parâmetro `title`. Atacantes não autenticados podem explorar isso enganando um usuário para clicar em um link malicioso, permitindo a execução de scripts web arbitrários no navegador do usuário.

O plugin não remove a chave secreta do reCAPTCHA das configurações de sorteio incorporadas em páginas públicas de sorteio. Isso permite que visitantes não autenticados recuperem a chave secreta de qualquer sorteio ativo que tenha o reCAPTCHA configurado.

A sanitização insuficiente de entrada e a falta de escape na saída permitem que atacantes autenticados com nível de acesso de contribuidor ou superior realizem Stored Cross-Site Scripting. Isso é feito injetando scripts web arbitrários através do atributo de shortcode `offset`, que são executados quando um usuário visita a página afetada.

A sanitização e a codificação insuficientes de uma configuração de widget antes de ser exibida na pré-visualização do editor permitem que usuários com nível de acesso de colaborador ou superior realizem um ataque de cross-site scripting armazenado. Isso ocorre quando um usuário com privilégios mais elevados abre o conteúdo afetado no editor, fazendo com que os scripts web arbitrários injetados sejam executados em sua sessão.

A sanitização e a codificação insuficientes de um atributo de bloco antes de ser exibido em uma página permitem que usuários com a função de colaborador ou superior executem ataques de Cross-Site Scripting Armazenado. O Cross-Site Scripting Armazenado é um tipo de ataque onde scripts maliciosos são armazenados permanentemente no servidor de destino.

Ocorre a falta de escape de atributos em blocos de incorporação do YouTube durante o processo de renderização ao serem inseridos em um atributo HTML. Essa falha permite que usuários com permissões de colaborador executem ataques de Cross-Site Scripting (XSS) Armazenado, uma técnica onde scripts maliciosos são armazenados permanentemente no servidor alvo e servidos a outros usuários.

O plugin não realiza verificações de capacidade ou propriedade em diversas ações AJAX, dependendo apenas de um nonce. Isso permite que usuários aos quais um administrador concedeu acesso aos recursos de postagem exportem as credenciais de contas sociais configuradas no site, excluam postagens arbitrárias e redefinam a configuração do plugin.

O plugin não escapa atributos não reconhecidos em seu bloco de reprodutor de vídeo antes de renderizá-los no elemento wrapper do bloco. Isso permite que usuários com a função de Autor ou superior injetem um atributo de manipulador de eventos, possibilitando a execução de scripts arbitrários no navegador de qualquer usuário, incluindo administradores, que visualize a postagem afetada.

O plugin Gutenverse – WordPress Blocks, Page Builder & Site Editor para WordPress contém um problema de Stored Cross-Site Scripting. Atacantes autenticados com nível de acesso de contribuidor ou superior podem injetar scripts web arbitrários em páginas através do atributo `suffixMain` do Post Comment Block. Isso ocorre devido à sanitização de entrada e escape de saída insuficientes. O problema persiste apesar da sanitização `wp kses post` do núcleo do WordPress porque a carga útil é armazenada dentro de um comentário delimitador de bloco do Gutenberg e é renderizada como HTML explorável apenas na etapa de renderização PHP.

O plugin contém uma falha de Insecure Direct Object Reference (IDOR), que ocorre quando uma aplicação fornece acesso direto a objetos com base em entradas fornecidas pelo usuário. O problema reside na função `edit meta value` devido à falta de validação em uma chave controlada pelo usuário. Atacantes autenticados com nível de acesso de contribuidor ou superior podem excluir anexos de mídia arbitrários em todo o site ao fornecer um ID de anexo numérico no parâmetro `file-field` juntamente com uma flag de exclusão. Isso pode resultar em perda de conteúdo e páginas quebradas. Isso é possível quando a postagem do atacante é gerenciada por um modelo que contém um campo do tipo arquivo onde a opção `mediaRemove` está desativada, que é a configuração padrão.

Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes autenticados com nível de acesso de contribuidor ou superior podem modificar o título e os metadados de posts arbitrários do WordPress ou excluí-los permanentemente. Isso é feito fornecendo a variável `popup id` controlada pelo atacante. O nonce necessário é emitido na tela de administração edit-jltma popup, que é acessível a contribuidores porque o tipo de post personalizado `jltma popup` é registrado com `capability type='post'`.

O plugin está sujeito a Reflected Cross-Site Scripting, uma falha onde uma aplicação inclui dados não confiáveis em uma página web sem a devida validação ou escape. Isso ocorre porque a aplicação lê o parâmetro `keyword` do array `$ GET` e aplica a função `sanitize text field()`, que remove tags HTML, mas preserva aspas duplas. O valor é então inserido no atributo value de um campo de busca usando um heredoc de PHP sem a utilização de `esc attr()`. Atacantes não autenticados podem explorar isso enganando um usuário com capacidades de `upload files` (nível Autor ou superior) para clicar em um link especialmente criado para o endpoint '/wp-admin/media-upload', permitindo a execução de scripts web arbitrários.

O plugin não valida nem sanitiza uma configuração de link de widget antes de armazená-la e utilizá-la em uma chamada de navegação JavaScript. Isso permite que usuários com a função de contribuidor ou superior realizem um ataque de cross-site scripting armazenado, injetando JavaScript que é executado no navegador de qualquer usuário que interaja com o widget afetado.

A validação insuficiente de uma configuração permite que usuários com privilégios de administrador armazenem JavaScript. Esse script é executado na sessão de qualquer visitante do site quando os scripts de front-end incluídos constroem a marcação a partir da configuração afetada.

A sanitização insuficiente de entrada e a falta de escape de saída em uma configuração do widget de Tabela permitem que usuários autenticados com a função de Colaborador ou superior realizem ataques de Cross-Site Scripting (XSS) Armazenado. Isso ocorre quando a configuração é exibida dentro de um atributo HTML, permitindo a injeção de scripts web arbitrários que são executados sempre que um usuário acessa a página afetada.

Existe uma Referência Direta Insegura a Objetos (IDOR) na função `watch checkout()` devido à falta de validação em uma chave controlada pelo usuário. Isso permite que invasores não autenticados obtenham o direito a um produto premium enquanto pagam por um de menor custo, manipulando o parâmetro `product id` independentemente do parâmetro `price id` na URL de checkout do Stripe.