Jonah Burgess

The WP Photo Album Plus plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'HTTP X FORWARDED FOR' parameter in all versions up to, and including, 9.2.08.003 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The nonce failure path for the getshortcodedrenderedfenodelay action serves as the log-write trigger rather than an access barrier — a deliberately failed nonce check causes wppa log() to record the attacker-supplied X-Forwarded-For value to disk, making the exploit fully reachable by unauthenticated callers via the wp ajax nopriv wppa endpoint.

The Ninja Forms – The Contact Form Builder That Grows With You plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Repeater Child 'type' Confusion via Unmatched Array Key in all versions up to, and including, 3.15.1 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Exploitation requires the Ninja Forms File Uploads add-on to be active, as the attack routes the unwhitelisted child entry through the File Uploads handler to write an attacker-supplied HTML file containing arbitrary JavaScript into any web-server-writable directory, including the site root, where it is served from the site's own origin.

**Nome do Software Vulnerável e Versões Afetadas** MetForm – Contact Form, Survey, Quiz, & Custom Form Builder for Elementor versões anteriores a 4.1.9 **Descrição** A sanitização insuficiente de entrada e a falta de escape de saída permitem que atacantes autenticados com nível de acesso de contribuidor ou superior realizem Stored Cross-Site Scripting (XSS). Isso ocorre por meio da configuração de widget `mf form id`, permitindo a injeção de scripts web arbitrários em páginas que são executados quando acessados por usuários. O ataque ignora o filtro `wp kses post` utilizado pelo Elementor porque a carga útil não contém tags HTML. Além disso, o uso da função `str replace()` para transformar tags de script em expressões literais de modelo JavaScript cria um caminho de entrega alternativo para os scripts. **Recomendações** Atualize o MetForm – Contact Form, Survey, Quiz, & Custom Form Builder for Elementor para a versão 4.1.9 ou posterior. Como mitigação temporária, restrinja o acesso à configuração de widget `mf form id` para usuários com permissões de contribuidor.

**Nome do Software Vulnerável e Versões Afetadas** Quiz and Survey Master (QSM) – Easy Quiz and Survey Maker versões anteriores a 11.2.2 **Descrição** Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes autenticados com nível de acesso de contribuidor ou superior podem injetar scripts web arbitrários através do parâmetro `question title`. Esses scripts são executados sempre que um usuário acessa a página afetada. **Recomendações** Atualize para a versão 11.2.2 ou posterior. Restrinja o uso do parâmetro `question title` para usuários com nível de acesso de contribuidor como uma medida de mitigação temporária.

**Nome do Software Vulnerável e Versões Afetadas** UsersWP – Front-end login form, User Registration, User Profile & Members Directory plugin for WordPress versões anteriores a 1.2.70 **Description** Ocorre Cross-Site Scripting (XSS) Armazenado devido à sanitização de entrada e escape de saída insuficientes durante a Substituição de Variáveis do Badge Widget. Isso permite que atacantes autenticados com nível de acesso de assinante ou superior injetem scripts web arbitrários em páginas, que são executados sempre que um usuário acessa a página afetada. **Recommendations** Atualize o plugin para a versão 1.2.70 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Essential Addons for Elementor versões anteriores a 6.6.12 **Descrição** Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes nas Configurações Globais de Cor do Progresso de Leitura (Reading Progress Global Color Settings). Atacantes autenticados com nível de acesso de contribuidor ou superior podem injetar scripts web arbitrários em páginas, que são executados sempre que um usuário acessa a página afetada. **Recomendações** Atualize para uma versão posterior à 6.6.11.

**Nome do Software Vulnerável e Versões Afetadas** The Essential Addons for Elementor versões anteriores a 6.6.11 **Descrição** A validação insuficiente no lado do servidor de uma configuração do widget de Login/Register permite que atacantes autenticados com nível de acesso Contribuidor ou superior realizem a Injeção de Cabeçalho de E-mail. A restrição de valores permitidos é aplicada apenas na interface do editor do lado do cliente, e o processo de sanitização não remove nem codifica caracteres de Retorno de Carro (CR) e Alimentação de Linha (LF). Isso permite que sequências CRLF sejam injetadas nos cabeçalhos de e-mail brutos, possibilitando que um atacante adicione um cabeçalho Bcc ao e-mail de notificação de redefinição de senha do administrador do WordPress. Ao receber uma cópia do link válido de redefinição de senha, o atacante pode assumir totalmente a conta do administrador. **Recomendações** Atualize para a versão 6.6.11 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Database for Contact Form 7, WPforms, Elementor forms versões anteriores a 1.5.2 **Descrição** Um problema de cópia arbitrária de arquivos existe na função `create entry el()`. A função recupera o `raw value` do objeto Form Record do Elementor Pro para campos do tipo upload e o passa para a função `copy()` do PHP sem verificar se o valor é um arquivo enviado legitimamente. Quando nenhum arquivo está presente no array `$ FILES`, o `raw value` reflete uma string POST controlada pelo invasor. Como a função `copy()` suporta tanto caminhos do sistema de arquivos local quanto URLs remotas, um invasor não autenticado pode visar qualquer arquivo legível pelo processo PHP ou fornecer uma URL remota para expor arquivos arbitrários do servidor. O Elementor Pro é necessário para acionar o caminho do código, mas a falha reside no manipulador do Contact Form Entries. Embora o arquivo seja copiado para um diretório com hash, o nome do diretório é gerado usando `uniqid()` e `rand()`, que não são criptográficos e não fornecem proteção confiável. **Recomendações** Atualize para uma versão posterior à 1.5.1. Como medida paliativa temporária, restrinja o uso da função `create entry el()` até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** ProfileGrid versões anteriores a 5.9.9.3 **Description** O plugin ProfileGrid para WordPress contém um problema de Stored Cross-Site Scripting devido à sanitização de entrada e escape de saída insuficientes. Atacantes autenticados com nível de acesso de Assinante (Subscriber) ou superior podem injetar scripts web arbitrários através do parâmetro `pm author message` na função `pm send message to author()`. Esses scripts são executados sempre que um usuário acessa uma página onde o conteúdo foi injetado. **Recommendations** Atualize para uma versão posterior a 5.9.9.2. Como medida paliativa temporária, restrinja o acesso à função `pm send message to author()` ou sanitize o parâmetro `pm author message` para evitar a injeção de scripts.

**Nome do Software Vulnerável e Versões Afetadas** The Photo Gallery by 10Web – Mobile-Friendly Image Gallery plugin for WordPress versões anteriores a 1.8.42 **Descrição** A escape insuficiente de parâmetros fornecidos pelo usuário e a falta de preparação adequada de consultas SQL permitem que atacantes autenticados com acesso de nível de contribuidor ou superior realizem SQL Injection baseada em tempo. Isso ocorre por meio do parâmetro de shortcode `compact album order by`, permitindo a extração de informações sensíveis do banco de dados. O payload malicioso é armazenado através do manipulador AJAX 'shortcode bwg', que pode ser acessado por contribuidores sem um nonce válido ao omitir o parâmetro `page`. A injeção é subsequentemente disparada pelo manipulador AJAX não autenticado 'bwg frontend data'. **Recomendações** Atualize o plugin para uma versão posterior a 1.8.41.

**Nome do Software Vulnerável e Versões Afetadas** Cisco Catalyst SD-WAN Controller (versões afetadas não especificadas) Cisco Catalyst SD-WAN Manager (versões afetadas não especificadas) Cisco Catalyst SD-WAN Validator (versões afetadas não especificadas) **Descrição** Uma falha no mecanismo de autenticação de peering do handshake de conexão de controle permite que um invasor remoto não autenticado ignore a autenticação e obtenha privilégios administrativos. O problema ocorre porque o sistema não valida adequadamente os certificados e tokens recebidos durante a configuração de sessões entre controladores, especificamente no serviço `vdaemon`. Ao enviar solicitações manipuladas — como uma conexão DTLS com um certificado autoassinado — um invasor pode simular um peer confiável e receber uma conta de usuário interno com altos privilégios. Esse acesso permite o uso do NETCONF para manipular tabelas de roteamento globais, injetar políticas de roteamento maliciosas e modificar configurações de rede em todo o fabric SD-WAN. O problema tem sido explorado ativamente por atores de ameaças sofisticados, incluindo o grupo UAT-8616, para implantar chaves SSH, instalar web shells e executar mineradores de criptomoedas. **Recomendações** Atualize o Cisco Catalyst SD-WAN Controller, Manager e Validator para a versão 20.12.6.2 ou superior. Restrinja o acesso ao plano de gerenciamento para intervalos de IP administrativos conhecidos via Listas de Controle de Acesso (ACLs) para garantir que o endpoint de autenticação de peering não esteja acessível a partir de fontes de rede arbitrárias. Restrinja todo o acesso externo de entrada aos endpoints NETCONF. Audite os logs de peering em busca de sequências de anexação não autorizadas e inspecione os bancos de dados de usuários para identificar contas administrativas secundárias não autorizadas. Realize uma análise de diferença (diff) das tabelas de roteamento global e políticas de segurança em relação a backups confiáveis para detectar caminhos de espelhamento de tráfego maliciosos.

**Nome do Software Vulnerável e Versões Afetadas** ProfileGrid – User Profiles, Groups and Communities versões anteriores a 5.9.8.5 **Descrição** O plugin ProfileGrid – User Profiles, Groups and Communities para WordPress permite acesso não autorizado porque a função `pm invite user()` carece de uma verificação de capacidade. Atacantes autenticados com nível de acesso de Assinante (Subscriber) ou superior podem explorar isso para adicionar a si mesmos ou a outros usuários registrados a qualquer grupo, incluindo grupos fechados e pagos, ignorando todas as barreiras de autorização e pagamento. **Recomendações** Atualize o plugin para uma versão posterior à 5.9.8.4. Como medida paliativa temporária, restrinja o acesso à função `pm invite user()` para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** ProfileGrid versões anteriores a 5.9.8.5 **Descrição** O plugin ProfileGrid – User Profiles, Groups and Communities para WordPress contém uma falha de Blind SQL Injection. Este problema ocorre devido à escape insuficiente de parâmetros fornecidos pelo usuário e à falta de preparação adequada da consulta SQL. Atacantes autenticados com nível de acesso de Assinante (Subscriber) ou superior podem anexar consultas SQL adicionais através do parâmetro `rid` para extrair informações sensíveis do banco de dados. **Recomendações** Atualize o plugin para uma versão posterior à 5.9.8.4. Como medida paliativa temporária, restrinja o acesso ao parâmetro `rid` para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** Elementor Website Builder versões anteriores a 4.0.5 **Descrição** A sanitização insuficiente de entradas no processamento de solicitações REST API codificadas em formulário permite que atacantes autenticados com nível de acesso de contribuidor ou superior realizem Stored Cross-Site Scripting. O plugin registra o campo de meta ` elementor data` com `show in rest`, mas omite um `sanitize callback`. Ele depende de um filtro `rest pre insert post` através da função `sanitize post data()`, que sanitiza apenas corpos de solicitação codificados em JSON. Quando uma solicitação PATCH codificada em formulário é enviada para a REST API do WordPress, a chamada `json decode()` retorna nulo, ignorando toda a sanitização. Os dados não sanitizados são armazenados via `update post meta()` e posteriormente exibidos sem escape através de vários sinks de widgets, incluindo a função `print unescaped setting()` do widget HTML, permitindo a execução de scripts web arbitrários sempre que um usuário acessar a página afetada. **Recomendações** Atualize para uma versão posterior à 4.0.4.