H0Xilo

The Redux Framework plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the Slider field in User Profile settings in versions up to and including 4.5.13.1. This is due to insufficient input sanitization in the user meta save() function (which only sanitizes array values, not scalar values) and improper output escaping in the Redux Slider::render() method, which outputs slider values into unquoted HTML attributes. The vulnerability also exploits the fact that the clean default() method only casts values to numeric types when they are empty or out of bounds, allowing malicious strings like '1 tabindex=0 autofocus onfocus=alert(1) x=' to pass validation through PHP's loose type comparison. This makes it possible for authenticated attackers, with Subscriber-level access and above, to inject arbitrary web scripts into their user profile that will execute whenever an Administrator navigates to view the attacker's profile page.

The Event Tickets and Registration plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the Stripe OAuth return endpoint in all versions up to, and including, 5.27.4. This makes it possible for unauthenticated attackers to overwrite the site's Stripe merchant credentials (access tokens, publishable keys, and account ID), diverting all subsequent payment processing to the attacker's Stripe account.

The WPML Multilingual CMS plugin for WordPress is vulnerable to time-based SQL Injection via the ‘elementIds’ parameter in all versions up to, and including, 4.9.5 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for authenticated attackers, with Subscriber-level access and above, to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database. This vulnerability is exploitable due to an authorization bypass where the registered authorization callback fails to execute, allowing any authenticated user regardless of role to access administrative translation functionalities.

**Nome do Software Vulnerável e Versões Afetadas** Divi Ajax Filter versões anteriores a 5.1.3 **Description** Um problema de Local File Inclusion não autenticado ocorre quando o parâmetro `loop templates` está definido como 'custom-template'. Isso permite que atacantes incluam e executem arquivos .php arbitrários no servidor através do parâmetro `custom loop template`, podendo levar à execução de código PHP, contorno de controles de acesso ou obtenção de dados sensíveis caso arquivos .php possam ser carregados. **Recommendations** Atualize o Divi Ajax Filter para uma versão posterior à 5.1.2. Evite definir o parâmetro `loop templates` como 'custom-template' até que a atualização seja aplicada.

The Everest Forms plugin for WordPress is vulnerable to Server-Side Request Forgery in all versions up to, and including, 3.4.4. This is due to the `load previous field value()` method in `class-evf-form-task.php` accepting arbitrary URL values from `$ POST` data for upload fields without domain restriction, which are then passed to `wp remote head()` in the `get local file size()` method of `class-evf-form-fields-upload.php`. This makes it possible for unauthenticated attackers to force the WordPress server to make outbound HTTP HEAD requests to arbitrary URLs by submitting a form with an upload field containing a malicious URL while leaving a required field empty to trigger form re-rendering.

The WooCommerce Lottery plugin for WordPress is vulnerable to Time-Based SQL Injection via 'orderby' and 'order' GET Parameters in all versions up to, and including, 2.2.9 due to insufficient escaping on the user supplied parameter and lack of sufficient preparation on the existing SQL query. This makes it possible for unauthenticated attackers to append additional SQL queries into already existing queries that can be used to extract sensitive information from the database.

**Nome do Software Vulnerável e Versões Afetadas** Paid Memberships Pro – Content Restriction, User Registration, & Paid Subscriptions versões anteriores a 3.8.2 **Descrição** A sanitização de entrada e a codificação de saída insuficientes no shortcode `[pmpro member profile edit]` permitem que atacantes autenticados com nível de acesso de assinante ou superior realizem Stored Cross-Site Scripting (XSS). Isso ocorre por meio de um campo de usuário somente leitura, permitindo a injeção de scripts web arbitrários que são executados quando um usuário visita a página afetada. **Recomendações** Atualize o Paid Memberships Pro – Content Restriction, User Registration, & Paid Subscriptions para a versão 3.8.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Chaty Pro versões anteriores a 3.5.6 **Descrição** Usuários autenticados com nível de acesso de assinante ou superior podem realizar uma Injeção de SQL Cega Baseada em Tempo (Time-Based Blind SQL Injection). Isso ocorre porque a função `fetch custom field()` em admin/class-admin-base.php recupera o parâmetro POST `widget id` e o concatena diretamente em uma consulta SQL bruta sem utilizar `$wpdb->prepare()` ou conversão para inteiro (integer casting). Além disso, a verificação de nonce é executada após a consulta SQL, não impedindo a injeção. Essa falha permite que invasores executem comandos SQL arbitrários para extrair informações sensíveis do banco de dados, como dados de configuração e credenciais de usuário. **Recomendações** Atualize o Chaty Pro para uma versão posterior à 3.5.5. Como medida de mitigação temporária, restrinja o acesso às funções administrativas que utilizam a função `fetch custom field()`.

**Nome do Software Vulnerável e Versões Afetadas** Breakdance versões anteriores a 2.7.2 **Description** Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Isso permite que atacantes não autenticados injetem scripts web arbitrários por meio do parâmetro `fields`, que são executados quando um usuário acessa a página afetada. **Recommendations** Atualize o Breakdance para a versão 2.7.2 ou posterior. Evite usar o parâmetro `fields` até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** Digits: WordPress Mobile Number Signup and Login versões anteriores a 9.1.0.6 **Descrição** A escalada de privilégios é possível para usuários autenticados com nível de acesso Assinante (Subscriber) ou superior. O problema decorre da falta de autorização e validação de função na função `dig update wpwc custom fields()`. Um invasor pode elevar seus privilégios para Administrador ao enviar um valor `digits reg userrole` forjado durante a atualização do perfil, desde que o administrador do site tenha configurado o campo de Função de Usuário integrado do DIGITS. **Recomendações** Atualize para uma versão posterior à 9.1.0.5. Como medida de mitigação temporária, desative a configuração do campo de Função de Usuário integrado do DIGITS.

**Nome do Software Vulnerável e Versões Afetadas** WP Grid Builder versões anteriores a 2.3.4 **Descrição** Existe um problema onde a falta de autorização e de validação de chave meta no manipulador `update()` para o endpoint REST '/wp-json/wpgb/v2/metadata' permite que usuários autenticados com nível de acesso Assinante ou superior elevem seus privilégios para Administrador. Isso é feito atualizando o meta de usuário `wp capabilities` usando um payload de array aninhado manipulado. **Recomendações** Atualize o WP Grid Builder para a versão 2.3.4 ou posterior. Restrinja o acesso ao endpoint REST '/wp-json/wpgb/v2/metadata' para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** WP Review Slider Pro versões anteriores a 12.7.3 **Descrição** Um invasor não autenticado pode extrair dados arbitrários do banco de dados usando injeção de SQL cega ou baseada em tempo. O problema ocorre na ação AJAX `wprp load more revs`, onde o parâmetro `notinstring` é processado. A aplicação utiliza `sanitize text field()` na entrada, que remove HTML e espaços em branco, mas não garante a segurança contra SQL. Esse valor é então concatenado diretamente em uma cláusula `AND id NOT IN (...)` não citada e executado via `$wpdb->get results()` sem o uso de `$wpdb->prepare()` ou conversão `intval()`. Como a entrada é colocada em um contexto numérico, as proteções padrão de escape de aspas são ineficazes. O nonce necessário para o hook `wp ajax nopriv wprp load more revs` está publicamente acessível em qualquer página frontal que renderize o shortcode do plugin. **Recomendações** Atualize para uma versão posterior a 12.7.2. Como mitigação temporária, restrinja o acesso à ação AJAX `wprp load more revs` ou evite o uso do parâmetro `notinstring`.

**Nome do Software Vulnerável e Versões Afetadas** BookingPress Appointment Booking Pro versões anteriores a 5.7.2 **Description** Existe um problema onde invasores não autenticados podem executar consultas SQL adicionais para extrair informações sensíveis do banco de dados. Isso ocorre porque os dados POST fornecidos pelo usuário são processados usando a função `stripslashes deep()` e, em seguida, inseridos diretamente em uma cláusula SQL LIKE sem o uso de `$wpdb->prepare()` ou parametrização. A falha está localizada na função `bpa assign staffmember to slots()`, afetando especificamente o parâmetro `store service date`. **Recommendations** Atualize o BookingPress Appointment Booking Pro para a versão 5.7.2 ou posterior. Como mitigação temporária, restrinja o acesso à funcionalidade que utiliza a função `bpa assign staffmember to slots()`.

**Nome do Software Vulnerável e Versões Afetadas** ARMember Premium versões anteriores a 7.3.2 **Descrição** Existe um problema onde atacantes não autenticados podem anexar consultas SQL adicionais a consultas existentes para extrair informações sensíveis do banco de dados. Isso ocorre devido à escape insuficiente dos parâmetros `order` e `orderby` e à falta de preparação adequada da consulta SQL dentro da função `arm get directory members()`. A falha é acionada por meio do parâmetro 'order' do endpoint de ação AJAX 'arm directory paging action'. **Recomendações** Atualize o plugin para uma versão posterior a 7.3.1. Como medida paliativa temporária, restrinja o acesso à ação AJAX 'arm directory paging action' ou evite o uso dos parâmetros `order` e `orderby` até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** ARMember Premium versões anteriores a 7.3.1 **Descrição** O plugin ARMember Premium para WordPress contém um mecanismo de redefinição de senha inseguro. **Recomendações** Atualize para a versão 7.3.1.

**Nome do Software Vulnerável e Versões Afetadas** ARMember Premium versões anteriores a 7.3.2 **Description** Um problema de SQL Injection existe no plugin ARMember Premium para WordPress. A ação AJAX `get private content data` não sanitiza adequadamente o parâmetro `sSortDir 0`, que é concatenado diretamente na cláusula ORDER BY de uma consulta SQL sem uma verificação de lista permitida (whitelist). Isso permite que atacantes autenticados com nível de acesso Assinante (Subscriber) ou superior anexem consultas SQL adicionais para extrair informações sensíveis do banco de dados. Este problema só pode ser explorado se o addon User Private Content estiver habilitado. **Recommendations** Atualize para uma versão posterior a 7.3.1. Como mitigação temporária, desabilite o addon User Private Content.

**Nome do Software Vulnerável e Versões Afetadas** WishList Member versões anteriores a 3.30.2 **Descrição** Existe um problema onde a falta de autorização permite a escalada de privilégios. A função `ajax get screen()` não realiza as verificações de capacidade e nonce necessárias. Atacantes autenticados com acesso de nível Assinante (Subscriber) ou superior podem fornecer um identificador de tela administrativa arbitrário através do parâmetro `data[url]`. Esta ação faz com que o plugin carregue e execute o modelo de configuração da API administrativa sem autorização, retornando a Chave Secreta da REST API do plugin em texto simples na resposta JSON do AJAX. Um atacante que possua esta chave pode se autenticar na API, criar um nível de assinatura atribuído à função de administrador do WordPress e registrar uma conta de usuário de nível administrador, resultando na tomada total de controle do site. **Recomendações** Atualize para uma versão posterior a 3.30.1. Como medida paliativa temporária, restrinja o acesso à função `ajax get screen()` para evitar que usuários não autorizados acionem o modelo de configuração da API administrativa.

**Nome do Software Vulnerável e Versões Afetadas** Wishlist Member versões anteriores a 3.30.2 **Descrição** O plugin Wishlist Member para WordPress permite a modificação não autorizada de dados devido a uma verificação de capacidade ausente na função `generate api key()`. Atacantes autenticados com nível de acesso Assinante (Subscriber) ou superior podem atualizar a Chave Secreta da REST API. Isso permite a criação de um novo nível de assinatura atribuído à função de administrador do WordPress e o registro de uma conta de usuário arbitrária com nível de administrador, resultando na tomada total de controle do site. **Recomendações** Atualize para uma versão posterior à 3.30.1. Como medida paliativa temporária, restrinja o acesso à função `generate api key()` para evitar que usuários não autorizados modifiquem a Chave Secreta da API.

**Nome do Software Vulnerável e Versões Afetadas** Wishlist Member versões anteriores a 3.30.2 **Descrição** O plugin Wishlist Member para WordPress permite a modificação não autorizada de dados porque a função `save settings()` em `WishListMemberFeaturesTeam Accounts` carece de uma verificação de capacidade. Atacantes autenticados com acesso de nível Assinante (Subscriber) ou superior podem atualizar opções arbitrárias do plugin, incluindo a Chave Secreta da REST API. Isso pode ser utilizado para criar um novo nível de assinatura com a função de administrador do WordPress e registrar uma conta de usuário de nível administrador, resultando na tomada total de controle do site. **Recomendações** Atualize para uma versão posterior à 3.30.1. Como medida paliativa temporária, restrinja o acesso à função `save settings()` para evitar que usuários não autorizados modifiquem as configurações do plugin.

**Nome do Software Vulnerável e Versões Afetadas** WishList Member versões anteriores a 3.30.2 **Descrição** A falta de autorização na função `export settings()` permite a divulgação de informações sensíveis e a escalada de privilégios. A função não realiza verificações de capacidade, permitindo que um invasor recupere a Chave Secreta da API REST por meio de uma resposta JSON AJAX. Com esta chave, um invasor pode se autenticar na API do WishList Member, criar um novo nível de assinatura atribuído à função de administrador do WordPress e registrar uma conta de usuário arbitrária de nível administrador, resultando na tomada total de controle do site. **Recomendações** Atualize para uma versão posterior à 3.30.1. Como medida paliativa temporária, restrinja o acesso à função `export settings()` para minimizar o risco de exploração.