Enrico Marcolini

The ContentPen WordPress plugin before 1.1.1 discloses its REST API key to unauthenticated users, who can then use it to create posts containing unfiltered JavaScript, leading to Stored XSS that executes in the browser of any visitor, including administrators.

The Abilities Bridge WordPress plugin before 1.4.2 does not require a valid nonce before re-authenticating a REST API request from the logged-in session cookie, allowing attackers to make a logged-in administrator perform any REST API action, including creating a new administrator account and taking over the site, by tricking them into opening a crafted page (CSRF).

The Clockinator Lite WordPress plugin before 1.1.0 does not check authorisation or ownership when updating leave requests, allowing unauthenticated users to modify any leave record, including approving or rejecting requests and reassigning them to other users.

The Knowledge Building WordPress plugin before 0.7.3 does not sanitise and escape comments submitted through its reply feature, and publishes them without moderation, allowing unauthenticated users to perform Stored Cross-Site Scripting attacks against any visitor of the affected posts, including administrators.

The Live Composer WordPress plugin before 2.1.24 does not escape several attributes of one of its page-builder shortcodes before outputting them inside HTML tag attributes, allowing users with the Contributor role and above to store a payload that executes in the browser of anyone who views the post, including an administrator reviewing the pending submission.

The UniPAY Payment Gateway For WooCommerce WordPress plugin before 2.4 does not perform any authorization check before returning an order's order-received URL for an attacker-supplied order id, exposing the order's secret key in the redirect and allowing unauthenticated attackers to enumerate orders and disclose customers' personal data (name, email address, phone number and address).

The Fusion Page Builder WordPress plugin before 1.7.1 does not check that the user owns the content it moves to the trash, which could allow users with a role as low as Contributor to trash arbitrary posts and pages, or delete them permanently where the trash is disabled.

The Ecommerce Affiliate WordPress plugin through 1.0.0 does not restrict one-time password issuance and verification to the legitimate account owner, nor limit verification attempts, allowing unauthenticated attackers to take over any account, including administrators.

The Komfortkasse for WooCommerce WordPress plugin before 1.4.9 does not properly validate the authenticity of REST API requests, overriding WordPress's own nonce verification so that a request forged in a logged-in administrator's browser is accepted, which can be used to create a new administrator account and fully take over the site.

The Fiber Admin WordPress plugin before 4.0.1 does not have authorisation checks in some of its AJAX actions, allowing unauthenticated users to change the order of arbitrary posts, including drafts, private posts and navigation menu items, as well as the order of taxonomy terms when term ordering is enabled.

The Static Snapshot WordPress plugin through 0.2.1 does not sanitise shell metacharacters in a user-supplied value before concatenating it into operating-system commands run by the server, allowing unauthenticated attackers to execute arbitrary commands on the host.

O plugin não realiza verificações de capacidade, nonce ou propriedade em uma ação AJAX utilizada para atualizar detalhes da conta. Isso permite que invasores não autenticados sobrescrevam o endereço de e-mail de qualquer usuário, incluindo administradores, possibilitando a tomada total de controle da conta por meio do processo padrão de redefinição de senha.

Existe uma fraqueza de upload de arquivos não autenticado porque o plugin não valida o tipo de arquivos enviados através de submissões de formulários. Isso permite que atacantes façam o upload de arquivos PHP para um local acessível via web e os executem, resultando em execução remota de código (RCE), que é a capacidade de executar comandos arbitrários no servidor.

The Cool Media Filter WordPress plugin through 1.0.1 does not perform any capability or nonce check when updating the capabilities of a role, allowing any authenticated user, such as a subscriber, to grant their own role administrator capabilities and take over the site.

The WP PageNavi Style WordPress plugin through 1.4 does not sanitise and escape some of its settings, and has no CSRF check when they are saved, which could allow attackers to make a logged-in administrator store arbitrary JavaScript via a CSRF attack that is then executed in the browser of everyone who visits the site's front end.

O plugin não realiza verificações de capacidade ou nonce em uma ação AJAX. Isso permite que invasores não autenticados revoguem o status de conclusão de curso e classe de qualquer aluno. O problema decorre de uma verificação de capacidade ausente em uma função, permitindo acesso e ações não autorizadas.

O plugin não verifica a autenticidade de notificações de pagamento recebidas antes de marcar um pedido do WooCommerce como pago ou falho. Isso permite que invasores não autenticados alterem o status de pagamento de qualquer pedido na loja, independentemente do método de pagamento utilizado.

Usuários com altos privilégios, como administradores, podem realizar ataques de injeção de SQL devido à sanitização e escape insuficientes de um parâmetro fornecido pelo usuário antes de seu uso em uma instrução SQL. Essa falha permite que atacantes autenticados anexem consultas SQL adicionais a consultas existentes para extrair informações sensíveis do banco de dados.

Existe um problema onde os arquivos enviados não são validados adequadamente, pois o sistema depende apenas de um tipo de conteúdo fornecido pelo cliente que pode ser falsificado. Isso permite que invasores não autenticados enviem arquivos arbitrários, como scripts PHP, o que pode levar à execução remota de código (a capacidade de executar comandos arbitrários no servidor).

Este problema envolve a ignorância de pagamento causada por uma falta de verificação de pagamento no lado do servidor. O plugin não vincula a confirmação de transação do provedor de pagamento ao pedido específico que ele completa e não verifica o valor confirmado. Consequentemente, um invasor não autenticado pode usar uma única transação genuína de baixo valor para marcar pedidos arbitrários de maior valor como pagos.