Duy Tran

O fluxo de submissão de eventos no front-end não verifica a propriedade ou o tipo de postagem de um identificador de postagem fornecido pelo usuário. Esta Referência Direta Insegura a Objeto (IDOR)—uma falha onde uma aplicação fornece acesso direto a objetos com base em entradas fornecidas pelo usuário—permite que atacantes não autenticados leiam e sobrescrevam o conteúdo de postagens e páginas não publicadas arbitrárias e, subsequentemente, as convertam em eventos.

Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes autenticados com nível de acesso de autor ou superior podem modificar o `post content` de qualquer postagem publicada que referencie a mídia substituída, incluindo postagens de administradores. Isso ocorre porque a função `doReplaceQuery()` executa uma busca e substituição em todo o banco de dados para a URL da mídia antiga sem realizar verificações de capacidade por postagem, permitindo que usuários sobrescrevam conteúdos que a interface de administração padrão e a API REST normalmente restringiriam.

O controle de acesso insuficiente na REST API permite que usuários não autenticados acessem metadados e conteúdos de itens de listas de desejos privadas. Isso ocorre porque a API não aplica as mesmas restrições exclusivas ao proprietário utilizadas no front-end. O problema envolve a variável `share key`.

O plugin não realiza uma verificação de capacidade ou de nonce antes de limpar os dados de análise de SEO armazenados. Isso permite que usuários não autenticados excluam esses dados. Um nonce é um token único usado para proteger contra ataques de falsificação de solicitação cross-site (CSRF).

O plugin não verifica se as solicitações enviadas ao seu manipulador de execução de backup acionado por cron originam-se do despacho de eventos agendados internos do WordPress. Isso permite que atacantes não autenticados forcem a execução imediata de qualquer trabalho de backup existente, ignorando o tipo de gatilho ou cronograma configurado.

O plugin falha ao excluir consistentemente produtos protegidos por senha de endpoints AJAX não autenticados. Isso permite que usuários não autenticados enumerem e divulguem produtos protegidos por senha e seus metadados associados sem fornecer a senha exigida. Os endpoints afetados são 'dgwt wcas ajax search' (usado para pesquisa de preenchimento automático) e 'dgwt wcas result details' (usado para o Painel de Detalhes ao consultar detalhes de taxonomia).

O plugin não verifica se o agendamento sendo atualizado através da ação de atualização de dados do cliente pertence ao usuário autenticado. Ele depende de um nonce compartilhado (um token único usado para prevenir falsificação de requisição cross-site) que qualquer usuário autenticado pode obter no formulário de edição de seu próprio agendamento. Consequentemente, um usuário com privilégios de assinante pode reutilizar esse nonce para sobrescrever os metadados do cliente de um agendamento de outro usuário, especificamente as variáveis `email`, `name`, `phone` e `description`. Se um administrador posteriormente alterar o status do agendamento com as notificações de cliente ativadas, a notificação destinada à vítima será enviada para o endereço de e-mail controlado pelo invasor.

Este problema ocorre porque o plugin não verifica se um usuário está autorizado a acessar uma postagem referenciada antes de processá-la e retornar dados derivados. Consequentemente, usuários com privilégios de colaborador podem expor informações de postagens privadas ou rascunhos que não lhes pertencem.

Ocorre a verificação insuficiente de solicitações de webhook do Stripe quando nenhum segredo de assinatura está configurado. Além disso, o plugin não escapa os valores recuperados dessas solicitações antes de exibi-los em avisos do administrador. Isso permite que atacantes não autenticados realizem um ataque de Cross-Site Scripting (XSS)—injetando scripts web arbitrários que são executados no contexto de um administrador autenticado.

O plugin não exclui de forma confiável os arquivos CSV temporários criados durante o processamento de notificações por e-mail. Esses arquivos permanecem publicamente acessíveis no diretório de uploads. Atacantes não autenticados podem recuperar registros de envio de formulários de outros usuários utilizando nomes de arquivos previsíveis e enumeráveis.