Hung Nguyen

Server-side request forgery (ssrf) in Microsoft Office SharePoint allows an authorized attacker to elevate privileges over a network.

A sanitização insuficiente de entrada e a falta de escape de saída permitem que atacantes não autenticados realizem Stored Cross-Site Scripting. Isso ocorre por meio dos parâmetros `hb country iso`, `hb usa state iso` e `hb canada province iso`, permitindo a injeção de scripts web arbitrários que são executados quando um usuário acessa a página de administração HBook Customers.

A Execução Remota de Código é possível através do recurso Display Logic. O problema ocorre porque o plugin utiliza a função `eval()` em expressões de Display Logic fornecidas pelo usuário com uma blocklist/allowlist insuficiente que pode ser burlada usando `array map` com concatenação de strings. Além disso, há uma falta de imposição de autorização no atributo `extended widget opts block`. Isso permite que atacantes autenticados, com nível de acesso de Colaborador (Contributor) ou superior, executem código arbitrário no servidor.

Uma falha de upload arbitrário de arquivos existe no plugin Breeze Cache para WordPress, afetando aproximadamente 400.000 instalações ativas. O problema ocorre na função `fetch gravatar from remote()` devido à falta de validação do tipo de arquivo e a uma expressão regular incorreta que permite a extração de URLs do atributo `alt` de tags de imagem, em vez de apenas do atributo `src`. Atacantes não autenticados podem explorar isso manipulando o nome de exibição de um comentário para incluir uma URL maliciosa que aponte para um arquivo PHP. Quando processado, o plugin baixa e salva o arquivo no servidor, permitindo potencialmente a execução remota de código através do upload de backdoors PHP. Isso só é explorável se a configuração "Host Files Locally - Gravatars" estiver habilitada. A exploração no mundo real começou imediatamente após a divulgação em 22 de abril de 2026, com mais de 30.000 tentativas bloqueadas por firewalls de segurança. Foram observados atacantes fazendo o upload de droppers PHP com autodestruição para criar backdoors e contas de administrador fraudulentas.

The software contains an Insecure Direct Object Reference issue in the `executePayment()` function. Missing validation on a user-controlled key allows unauthenticated attackers to complete arbitrary pending orders. This is possible due to a mismatch between the PayPal transaction `token` and the local `order id`, potentially enabling theft of paid digital goods by exploiting a payment token from a low-cost item to finalize a high-value order.

The 'The Ultimate WordPress Toolkit – WP Extended' plugin for WordPress is susceptible to a privilege escalation issue. This is caused by an insecure `strpos()` check within the `isDashboardOrProfileRequest()` method against the `$ SERVER['REQUEST URI']` variable, used to determine if a request targets the dashboard or profile page. The `grantVirtualCaps()` function, which is connected to the `user has cap` filter, grants elevated capabilities, including `manage options`, when this check returns true. Authenticated attackers with Subscriber-level access or higher can exploit this by adding a crafted query parameter to any admin URL, enabling them to update arbitrary WordPress options and create new Administrator accounts.

The Autoptimize plugin for WordPress is susceptible to Stored Cross-Site Scripting through the `ao post preload` meta value. This is a result of inadequate input sanitization within the `ao metabox save()` function and a lack of output escaping when the value is rendered into a `<link>` tag in `autoptimizeImages.php`. Authenticated attackers with Contributor-level access or higher can inject arbitrary web scripts into pages. These scripts will execute when a user accesses an injected page, provided the "Image optimization" or "Lazy-load images" setting is enabled in the plugin configuration.

The Aimogen Pro plugin for WordPress is susceptible to an Arbitrary Function Call, potentially leading to privilege escalation. This is due to a missing capability check within the `aiomatic call ai function realtime` function. Unauthenticated attackers can exploit this to invoke arbitrary WordPress functions, such as `update option`, to modify site settings. Specifically, attackers can update the default user role for registration to administrator, enabling them to gain administrative access to a vulnerable site. The `update option` function allows modification of WordPress options, potentially impacting site security and functionality.

The WP Go Maps plugin for WordPress is susceptible to Stored Cross-Site Scripting due to insufficient input sanitization and output escaping. A missing capability check in the `admin post wpgmza save settings` hook anonymous function allows authenticated attackers with Subscriber-level access or higher to inject arbitrary web scripts into pages. These scripts will execute whenever a user accesses the injected page via the `wpgmza custom js` parameter.

O plugin LatePoint – Calendar Booking Plugin for Appointments and Events para WordPress é suscetível a escalonamento de privilégios através de uma falha na funcionalidade de redefinição de senha. O problema origina-se do plugin permitir que usuários com a função de Agente LatePoint, ao criar novos clientes, definam o campo `wordpress user id`. Isso permite que atacantes autenticados possuindo acesso de nível de Agente ou superior obtenham privilégios elevados ao associar um cliente a um ID de usuário arbitrário, potencialmente incluindo administradores, e subsequentemente redefinir a senha. O campo `wordpress user id` é utilizado para vincular um cliente a uma conta de usuário WordPress.

Nome do Software Vulnerável e Versões Afetadas Plugin Post Duplicator para WordPress versões até e incluindo 3.0.8 Descrição O plugin Post Duplicator para WordPress é vulnerável à modificação não autorizada de metadados de post protegidos. Isso ocorre porque a função `duplicate post()` utiliza diretamente `$wpdb->insert()` na tabela `wp postmeta`, ignorando a função padrão `add post meta()` e sua verificação associada `is protected meta()`. Isso permite que atacantes autenticados com acesso de nível Contribuidor ou superior injetem chaves de metadados protegidos arbitrárias, como ` wp page template` e ` wp attached file`, em posts duplicados. O problema é explorável por meio do parâmetro de matriz JSON `customMetaData` no endpoint da API `/wp-json/post-duplicator/v1/duplicate-post`. Recomendações Atualize o plugin Post Duplicator para uma versão posterior a 3.0.8.

O plugin Product Table and List Builder for WooCommerce Lite do WordPress é suscetível a injeção SQL baseada em tempo. Isso se deve ao escape inadequado da entrada fornecida pelo usuário no parâmetro `search` e à preparação insuficiente da consulta SQL existente. Isso permite que atacantes não autenticados injetem consultas SQL adicionais nas consultas existentes, potencialmente extraindo informações sensíveis do banco de dados.

O plugin SiteOrigin Widgets Bundle para WordPress está suscetível à execução arbitrária não autorizada de shortcodes. Isso é causado pela ausência de uma verificação de capacidades dentro da função `siteorigin widget preview widget action()`, que é registrada através da ação AJAX `wp ajax so widgets preview`. A função verifica um nonce (`widgets action`), mas não confirma as capacidades do usuário, permitindo que atacantes autenticados com acesso de nível de Assinante (Subscriber) ou superior executem shortcodes arbitrários. O nonce necessário é exposto no frontend público quando o widget Post Carousel está presente em uma página, incorporado dentro do atributo HTML `data-ajax-url`. Atacantes podem invocar o `SiteOrigin Widget Editor Widget` através do endpoint de preview para explorar essa vulnerabilidade.

A vulnerabilidade permite que invasores não autenticados extraiam dados confidenciais, incluindo rascunhos completos de postagens e postagens protegidas por senha, bem como a senha de postagens protegidas por senha, por meio do endpoint da API REST `get posts`.

O problema está relacionado a Stored Cross-Site Scripting (XSS) por meio dos shortcodes do plugin, devido à sanitização insuficiente de entradas e à falta de escapamento de saídas em atributos fornecidos pelo usuário, como `attributes` dos usuários. Isso permite que invasores autenticados com permissões de nível de colaborador ou superiores injetem scripts web arbitrários em páginas que serão executados sempre que um usuário acessar uma página injetada, potencialmente por meio de `API Endpoints` como `/wp-admin/admin.php`.