Gidget Smith

The Media Library Assistant plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'mla gallery' shortcode in versions up to and including 3.35. This is due to insufficient input sanitization and output escaping on the mla link href parameter when mla output is set to 'paginate links', where the paginate links() function processes the value through mla process shortcode parameter() and replace query parameter() without proper URL escaping, then outputs it directly in href attributes without applying esc url(). This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

**Nome do Software Vulnerável e Versões Afetadas** Payment Plugins for Stripe WooCommerce versões anteriores a 4.0.8 **Descrição** Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes não autenticados podem marcar pedidos assíncronos do WooCommerce pendentes como pagos forjando um evento `charge.pending`. Isso é feito controlando as variáveis `metadata.order id` e `metadata.gateway id`, e fornecendo um objeto de cobrança com `status=succeeded` e `captured=true`. Esse processo aciona a função `payment complete()` e os fluxos de cumprimento subsequentes usando um ID de transação fornecido pelo atacante. Este problema é explorável se o comerciante tiver deixado as opções `webhook secret test` ou `webhook secret live` em branco, que é a configuração padrão. **Recomendações** Atualize para uma versão posterior à 4.0.7. Configure manualmente um valor `whsec ` emitido pelo Stripe nas opções `webhook secret test` ou `webhook secret live` para habilitar a verificação de assinatura.

**Nome do Software Vulnerável e Versões Afetadas** LatePoint – Calendar Booking Plugin for Appointments and Events versões anteriores a 5.6.3 **Descrição** Existe uma Referência Direta Insegura a Objetos (IDOR) devido à falta de validação em uma chave controlada pelo usuário. Isso permite que invasores não autenticados criem agendamentos aprovados para serviços restritos a administradores e agentes, consumindo a capacidade de agendamento restrita. O problema é explorável através do parâmetro `service id` via o parâmetro `params[booking][service id]` no endpoint 'steps load step' e o parâmetro `presets[selected service]` no endpoint 'steps start'. **Recomendações** Atualize o LatePoint – Calendar Booking Plugin for Appointments and Events para a versão 5.6.3 ou posterior. Restrinja o acesso aos endpoints 'steps load step' e 'steps start' para minimizar o risco de agendamentos não autorizados.

**Nome do Software Vulnerável e Versões Afetadas** Custom Twitter Feeds versões anteriores a 2.5.5 **Descrição** O plugin Custom Twitter Feeds para WordPress contém um problema de Cross-Site Scripting Armazenado. Isso ocorre porque a função `CTF Display Elements::get post text()` não escapa adequadamente a saída ao renderizar o texto de tweets em cache. Especificamente, a ação AJAX 'ctf get more posts' está acessível a usuários não autenticados e exibe dados de tweets em cache usando `nl2br()` sem a devida filtragem de HTML. Um invasor pode injetar HTML ou JavaScript malicioso nos dados de tweets em cache, que são executados quando um usuário não autenticado acessa o endpoint afetado. **Recomendações** Atualize o plugin para uma versão posterior a 2.5.4. Como medida paliativa temporária, restrinja o acesso à ação AJAX 'ctf get more posts' para minimizar o risco de exploração.