Dmitry Ignatyev

The Translate WordPress with GTranslate WordPress plugin before 3.0.10 does not validate one of its settings before the bundled front-end scripts build markup from it, allowing users with a role as high as administrator to store JavaScript that runs in the session of any visitor to the site.

The Sina Extension for Elementor WordPress plugin before 3.10.4 does not properly escape a Table widget setting before outputting it within an HTML attribute, which could allow users with the Contributor role and above to perform Stored Cross-Site Scripting attacks.

The Otter Blocks – Gutenberg Blocks, Page Builder for Gutenberg Editor & FSE plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 3.1.7 via the 'watch checkout' function due to missing validation on a user controlled key. This makes it possible for unauthenticated attackers to pay for a lower-cost product while obtaining entitlement for a premium product by manipulating the product id parameter independently of the price id parameter in the Stripe checkout URL.

The Icegram Express WordPress plugin before 5.8.6 does not properly escape a list description setting before outputting it within an HTML attribute, which could allow users with the Administrator role and above to perform Stored Cross-Site Scripting attacks.

**Nome do Software Vulnerável e Versões Afetadas** The Ultimate Before After Image Slider & Gallery versões anteriores a 4.7.19 **Descrição** O plugin não escapa adequadamente o valor `before-label` do slider. Isso permite que usuários com a função de Autor ou superior armazenem um payload malicioso que é posteriormente reinjetado no Document Object Model (DOM) por um script do lado do cliente incluído. Isso resulta na execução do payload no navegador de qualquer usuário, incluindo administradores, que visualize o slider. **Recomendações** Atualize The Ultimate Before After Image Slider & Gallery para a versão 4.7.19 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Xpro Addons versões anteriores a 1.7.4 **Description** O plugin não escapa adequadamente as configurações de vários widgets antes de renderizá-las em atributos HTML. Essa falha permite que usuários com a função de Colaborador (Contributor) ou superior executem ataques de Cross-Site Scripting (XSS) Armazenado, que ocorrem quando um script malicioso é armazenado permanentemente no servidor alvo e servido a outros usuários. **Recommendations** Atualize para a versão 1.7.4 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Smart Slider 3 versões anteriores a 3.5.1.39 **Description** A sanitização insuficiente de entrada e a falta de escape de saída permitem que atacantes autenticados com nível de acesso de contribuidor ou superior realizem Stored Cross-Site Scripting. Isso é feito injetando scripts web arbitrários através do atributo de bloco `slider`. Os scripts são executados quando um usuário, especificamente Editores ou Administradores, abre a postagem afetada no editor de blocos do WordPress. **Recommendations** Atualize o Smart Slider 3 para a versão 3.5.1.39 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** The Events Manager – Calendar, Bookings, Tickets, and more! versões anteriores a 7.4.1 **Description** Existe um problema onde atacantes autenticados com nível de acesso de contribuidor ou superior podem realizar uma injeção de SQL de segunda ordem. Isso ocorre quando um atacante primeiro armazena metacaracteres SQL em uma chave meta personalizada através do fluxo padrão de adição de meta. A injeção é então disparada ao invocar as ações `event duplicate` ou `location duplicate`, que recuperam as chaves meta armazenadas via função `get post meta()` e as concatenam de forma insegura em uma consulta INSERT. Esta falha é causada pela escape insuficiente do parâmetro `meta key` e pela falta de preparação adequada da consulta SQL, permitindo a extração de informações sensíveis do banco de dados. **Recommendations** Atualize para a versão 7.4.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** PPWP – Password Protect WordPress versões anteriores a 1.9.22 **Descrição** Ocorre Cross-Site Scripting Armazenado através do shortcode `ppwp` devido à sanitização de entrada e escape de saída insuficientes em atributos fornecidos pelo usuário. Isso permite que atacantes autenticados com nível de acesso de contribuidor ou superior injetem scripts web arbitrários em páginas, que são executados sempre que um usuário acessa a página afetada. **Recomendações** Atualize para uma versão posterior à 1.9.21.

**Nome do Software Vulnerável e Versões Afetadas** NextScripts: Social Networks Auto-Poster WordPress plugin versões anteriores a 4.4.8 **Description** O Cross-Site Scripting (XSS) Refletido ocorre quando uma aplicação inclui dados não confiáveis em uma página web sem a devida validação ou escape. O plugin não realiza o escape de certos parâmetros de query-string refletidos em uma página de administração, permitindo que atacantes executem scripts maliciosos no navegador de usuários autenticados, como administradores, caso sejam enganados para abrir um link manipulado. **Recommendations** Atualize o NextScripts: Social Networks Auto-Poster WordPress plugin para a versão 4.4.8 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Bookly versões anteriores a 27.8 **Description** O plugin Online Scheduling and Appointment Booking System – Bookly para WordPress contém um problema de Stored Cross-Site Scripting causado por sanitização de entrada e escape de saída insuficientes. Atacantes não autenticados podem injetar scripts web arbitrários através da ação AJAX `bookly speed up update addons`. O payload é armazenado na coluna `bookly log.details` quando uma requisição é enviada sem uma assinatura válida. O script é executado quando um administrador visualiza a página Diagnostics → Logs. **Recommendations** Atualize o plugin para uma versão posterior a 27.7. Como medida de mitigação temporária, restrinja o acesso à página Diagnostics → Logs para minimizar o risco de execução de scripts.

**Nome do Software Vulnerável e Versões Afetadas** PPWP – Password Protect WordPress versões anteriores a 1.9.21 **Description** Existe uma Referência Direta Insegura a Objetos (IDOR) na ação AJAX `ppw free set password`. Este problema ocorre devido à falta de validação em uma chave controlada pelo usuário, permitindo que atacantes autenticados com nível de acesso de Colaborador ou superior atualizem a senha de qualquer postagem protegida por senha e obtenham acesso não autorizado ao seu conteúdo. **Recommendations** Atualize para uma versão posterior à 1.9.20.

**Nome do Software Vulnerável e Versões Afetadas** Templately – Elementor & Gutenberg Template Library: 6500+ Free & Pro Ready Templates And Cloud! versões anteriores a 3.7.2 **Description** Atacantes autenticados com nível de acesso de contribuidor ou superior podem executar código remotamente através da função `fetch remote file()`. O problema decorre de uma divergência entre a validação do nome do arquivo e o destino, onde a validação do tipo de arquivo é feita com base no nome do arquivo Content-Disposition controlado pelo atacante, em vez do nome do arquivo de destino derivado do caminho da URL. Isso permite que um arquivo poliglota GIF+PHP (um arquivo válido tanto como imagem GIF quanto como script PHP) ignore a restrição de capacidade `unfiltered upload` ao parecer uma imagem, mas ser salvo com a extensão `.php`. Os endpoints de API afetados são '/templately/v1/clouds/upload', '/templately/v1/insert' e '/templately/v1/login'. Este último permite que contribuidores sobrescrevam a conexão global da nuvem definindo `global signin` como true. Esses endpoints estão acessíveis devido a uma verificação de autorização insuficiente que exige apenas a capacidade `delete posts` em vez de permissões de nível de administrador. **Recommendations** Atualize o plugin para a versão 3.7.2 ou posterior. Corrija a função `fetch remote file()` para validar os tipos de arquivo em relação ao nome do arquivo de destino real, em vez do cabeçalho Content-Disposition, e interrompa a derivação do caminho de gravação a partir da URL da requisição. Restrinja as rotas REST que alteram o estado para capacidades de nível de administrador.

**Nome do Software Vulnerável e Versões Afetadas** Royal Addons for Elementor versões anteriores a 1.7.1065 **Descrição** A validação insuficiente de uma configuração de widget usada para construir uma tag HTML permite que usuários com a função de Colaborador (Contributor) ou superior executem ataques de Cross-Site Scripting (XSS) Armazenado. Este problema ocorre no Icon Box Widget. **Recomendações** Atualize o Royal Addons for Elementor para a versão 1.7.1065 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Accelerate versões anteriores a 1.5.4 **Descrição** O tema Accelerate para WordPress permite a modificação não autorizada de dados porque a função `enqueue scripts()` carece de uma verificação de capacidade adequada. Essa falha permite que usuários autenticados com permissões de nível Assinante (Subscriber) ou superior instalem e ativem o plugin ThemeGrill Demo Importer. **Recomendações** Atualize o tema para uma versão posterior a 1.5.3.

**Nome do Software Vulnerável e Versões Afetadas** Exclusive Addons for Elementor versões anteriores a 2.7.9.9 **Description** Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes autenticados com nível de acesso Colaborador ou superior podem injetar scripts web arbitrários em páginas através do parâmetro `exad infobox image`. Esses scripts são executados sempre que um usuário acessa a página afetada. **Recommendations** Atualize o Exclusive Addons for Elementor para a versão 2.7.9.9 ou posterior. Como mitigação temporária, restrinja o acesso ao parâmetro `exad infobox image` para usuários com permissões de nível Colaborador.

**Nome do Software Vulnerável e Versões Afetadas** Bit Form WordPress plugin versões anteriores a 3.1.4 **Descrição** Ocorre Cross-Site Scripting (XSS) armazenado porque o plugin não sanitiza uma configuração de exibição de formulário conversacional antes de renderizá-la no formulário público. Isso permite que usuários com altos privilégios, como administradores que não possuem a capacidade `unfiltered html` em instalações multisite, injetem JavaScript que é executado no navegador de qualquer visitante que visualize o formulário. **Recomendações** Atualize o Bit Form WordPress plugin para a versão 3.1.4 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** SureForms versões anteriores a 2.8.2 **Descrição** Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes autenticados com nível de acesso de contribuidor ou superior podem injetar scripts web arbitrários através do parâmetro `headingWrapper`. Esses scripts são executados sempre que um usuário acessa a página afetada. **Recomendações** Atualize o SureForms para a versão 2.8.2 ou posterior. Como medida de mitigação temporária, restrinja o acesso ao parâmetro `headingWrapper` para usuários com permissões de contribuidor.

**Nome do Software Vulnerável e Versões Afetadas** Jeg Kit for Elementor versões anteriores a 3.1.2 **Descrição** O plugin expõe informações sensíveis através da função `enqueue scripts()` em `class/dashboard/class-dashboard.php`. Ele injeta um objeto JavaScript `JkitDashboardOption` como um script inline na página de administração `post.php`. Este objeto contém o inventário completo de plugins, detalhes do ambiente do sistema, como versões do WordPress e PHP, URLs do site, capacidades do servidor e, potencialmente, credenciais de API de terceiros através da variável `jkit user data`. Como os dados são exibidos sem verificações de capacidade suficientes, qualquer usuário autenticado com nível de acesso Colaborador ou superior pode extrair esses dados de configuração inspecionando o código-fonte da página. **Recomendações** Atualize o plugin para a versão 3.1.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Yoast SEO versões anteriores a 28.1 **Descrição** Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes autenticados com nível de acesso de autor ou superior podem injetar scripts web arbitrários em páginas. Esses scripts são executados sempre que um usuário acessa a página afetada. A exploração requer que os links permanentes (pretty permalinks) estejam habilitados, pois depende da função `get permalink()` incorporando a variável `post name` codificada em percentual na URL gerada. **Recomendações** Atualize para uma versão posterior à 28.0.