Huseyn

The Countdown, Coming Soon, Maintenance WordPress plugin through 3.0.8 does not perform authorization or nonce checks when saving countdown data on post save, and its output-sanitization allowlist permits script tags, allowing users with Author-level access and above to store arbitrary web scripts that execute when the affected content is viewed on the front end or in an administrator session.

The Countdown, Coming Soon, Maintenance WordPress plugin through 3.0.8 does not check that the user is allowed to browse content before returning post titles from one of its AJAX actions, allowing any authenticated user, such as a subscriber, to list the titles of published entries of any post type, including types that WordPress does not expose to them. Draft, private and pending content is not returned; only published entries are disclosed.

Verificações de autorização insuficientes permitem que usuários com a função de colaborador ou superior alterem o tipo e a ordem de postagens que não têm permissão para editar. Isso permite que um invasor converta postagens e páginas de outros usuários em itens de portfólio, removendo-os de suas listagens e URLs originais.

Existe uma Referência Direta Insegura a Objeto (IDOR) na página de confirmação de pedido. O plugin não verifica se o visitante possui a chave do pedido necessária antes de exibir os detalhes do pedido. Isso permite que usuários não autenticados recuperem a localização de faturamento, produtos comprados e totais de pedidos de outros clientes através da enumeração de IDs de pedido.

O plugin não sanitiza nem escapa valores enviados por usuários não autenticados antes de serem armazenados no log de atividades e posteriormente exibidos em uma página da área administrativa. Isso resulta em Stored Cross-Site Scripting (XSS), uma condição onde scripts maliciosos são armazenados permanentemente no servidor e executados no navegador de usuários com altos privilégios, como administradores.