João Pedro S Alcântara

O plugin Kalles Addons para WordPress é suscetível a PHP Object Injection devido à desserialização de entradas não confiáveis. Isso permite que atacantes não autenticados injetem um Objeto PHP. O impacto deste problema depende da presença de uma POP chain (uma sequência de gadgets usada para alcançar a execução de código ou outras ações maliciosas) em outros plugins ou temas instalados. Se tal cadeia existir, um atacante poderá, potencialmente, excluir arquivos arbitrários, recuperar dados sensíveis ou executar código.

O plugin WPeMatico RSS Feed Fetcher para WordPress contém uma falha de Cross-Site Scripting (XSS) armazenada. Este problema ocorre porque o software não sanitiza adequadamente a entrada e não escapa a saída, permitindo que atacantes não autenticados injetem scripts web arbitrários em páginas. Esses scripts são executados automaticamente sempre que um usuário acessa a página afetada.

Ocorre Cross-Site Scripting (XSS) Armazenado devido à sanitização de entrada e escape de saída insuficientes. Isso permite que atacantes não autenticados injetem scripts web arbitrários em páginas, que são executados sempre que um usuário acessa a página afetada.

Existe um problema de Cross Site Scripting (XSS) não autenticado, permitindo que atacantes executem scripts maliciosos sem autenticação.

Um problema de Cross Site Scripting (XSS) não autenticado existe, permitindo que um invasor execute scripts maliciosos no navegador da vítima sem a necessidade de autenticação.

O tema Werkstatt - Creative Portfolio WordPress Theme é suscetível a PHP Object Injection, uma condição em que entradas não confiáveis são desserializadas, permitindo que um invasor injete um Objeto PHP. Este problema afeta usuários autenticados com nível de acesso de contribuidor ou superior. Embora não haja uma POP chain (uma sequência de gadgets usada para alcançar a execução de código) nativa no software, a presença de uma POP chain via outros plugins ou temas instalados poderia permitir a exclusão de arquivos arbitrários, a recuperação de dados sensíveis ou a execução remota de código.

Existe um problema de Cross Site Scripting (XSS) não autenticado, permitindo que um invasor execute scripts maliciosos no navegador de um usuário sem a necessidade de autenticação.

Cross Site Scripting (XSS) não autenticado permite que um invasor execute scripts maliciosos no navegador de um usuário sem a necessidade de autenticação.

Existe um problema de Cross Site Scripting (XSS) não autenticado, que permite a um invasor executar scripts maliciosos no navegador de um usuário sem a necessidade de autenticação prévia.

Existe um problema de Cross Site Scripting (XSS) não autenticado, que permite a um invasor executar scripts maliciosos no navegador de um usuário sem a necessidade de autenticação prévia.

Existe um problema onde níveis de segurança de controle de acesso configurados incorretamente levam à ausência de autorização, permitindo a exploração potencial.

Existe um problema de Inclusão de Arquivo Local (LFI) não autenticado, que permite a um invasor ler arquivos do sistema de arquivos local sem a necessidade de autenticação.

Ocorre Cross-Site Scripting (XSS) Refletido devido à sanitização de entrada e escape de saída insuficientes. Isso permite que atacantes não autenticados injetem scripts web arbitrários em páginas, que são executados quando um usuário é enganado para realizar uma ação, como clicar em um link.

O tema TheFox para WordPress está sujeito a Reflected Cross-Site Scripting (XSS), uma falha onde scripts maliciosos são refletidos de uma aplicação web para o navegador da vítima. Isso ocorre devido à sanitização insuficiente de entrada e escape insuficiente de saída, permitindo que atacantes não autenticados injetem scripts web arbitrários em páginas. Esses scripts são executados se um usuário for enganado a realizar uma ação, como clicar em um link malicioso.

Um problema de Cross-Site Request Forgery (CSRF) não autenticado existe no tema WordPress Real Estate 7. Isso ocorre devido à validação de nonce incorreta ou ausente—um mecanismo de segurança usado para garantir que uma solicitação foi enviada intencionalmente pelo usuário—dentro de uma função. Isso permite que um invasor execute ações não autorizadas enganando um administrador do site para clicar em um link malicioso.

Existe uma falha de Cross Site Scripting (XSS) no software, permitindo que usuários com permissões de colaborador executem scripts maliciosos no navegador de outros usuários.

Ocorre Cross-Site Scripting (XSS) Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes autenticados com nível de acesso de contribuidor ou superior podem injetar scripts web arbitrários em páginas, que serão executados sempre que um usuário acessar a página afetada.

Existe um problema de Cross Site Scripting (XSS) não autenticado, que permite a um invasor executar scripts maliciosos no navegador de um usuário sem a necessidade de autenticação prévia.

Uma falha de cross-site scripting (XSS) não autenticada existe no tratamento de entrada voltado para a web. O problema decorre de validação de entrada e codificação de saída inadequadas, permitindo que conteúdo fornecido por um invasor seja renderizado como um script ativo no navegador. Um invasor remoto pode injetar payloads maliciosos em parâmetros ou campos expostos sem autenticação. Se um administrador ou usuário interagir com o conteúdo manipulado, isso pode levar ao sequestro de sessão, assumindo o controle de contas administrativas via cookies ou nonces roubados, e redirecionamentos maliciosos.

Existe uma Injeção de SQL não autenticada devido à escape insuficiente de parâmetros fornecidos pelo usuário e à falta de preparação adequada das consultas SQL. Isso permite que atacantes anexem consultas SQL adicionais às consultas existentes para extrair informações sensíveis do banco de dados.