Kuba

Ocorre a Inclusão de Arquivo Local (Local File Inclusion) através do parâmetro `noptin fields[first name]`. Isso permite que invasores não autenticados incluam e executem arquivos .php arbitrários no servidor, possibilitando a execução de código PHP. Isso pode resultar na evasão de controles de acesso, obtenção de dados sensíveis ou execução de código se arquivos .php puderem ser carregados. A página Manage Preferences fornece um nonce para visitantes não autenticados, removendo barreiras de autorização. Um invasor pode armazenar um payload malicioso na variável `first name`, que é executado quando o operador do site envia uma newsletter. A exploração requer que um administrador acione o processo de envio da newsletter.

A sanitização insuficiente de entrada e a escape de saída inadequada permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS). Ao utilizar um payload de shortcode aninhado, os atacantes podem burlar a proteção `geodir strip shortcodes()` e a função `wp kses post()`, que não inspeciona os valores dos atributos do shortcode. Isso permite a injeção de scripts web arbitrários em páginas através do parâmetro `post content`, que são executados quando um usuário acessa a página afetada.

Existe um problema onde invasores não autenticados podem extrair a chave de API do Yandex Market em texto simples de um comerciante. Isso ocorre por meio do parâmetro `y4ym check action`, que permite o acesso a um arquivo de log publicamente acessível localizado em wp-content/uploads/y4ym/yml-for-yandex-market.log. A exploração bem-sucedida concede controle total sobre o catálogo, preços e estoque do marketplace. Isso requer que o feed alvo tenha uma chave de API armazenada e que a opção `y4ym keeplogs` esteja habilitada.

A sanitização de entrada e a escape de saída insuficientes permitem que atacantes autenticados com nível de acesso de assinante ou superior realizem Stored Cross-Site Scripting. Ao explorar a ausência de uma verificação `current user can()` no dispatcher `connect()` do framework Factory, os atacantes podem ignorar o portão de capacidade `manage options` para coletar um nonce `wis edit feed` e sobrescrever o parâmetro `slidespeed`. Isso permite a injeção de scripts web arbitrários que são executados sempre que um usuário visualiza uma página pública que incorpora o shortcode do feed.

Atacantes não autenticados podem executar shortcodes arbitrários porque o software não valida adequadamente um valor antes de executar a função `do shortcode()`. O endpoint `wp ajax nopriv qsm create quiz nonce` fornece um nonce de submissão para qualquer chamador não autenticado, o que permite que ele seja usado como um token CSRF (Cross-Site Request Forgery)—uma técnica usada para enganar um usuário para executar ações indesejadas—em vez de atuar como uma barreira de segurança.

Existe um problema onde invasores não autenticados podem realizar uma Injeção de SQL genérica, uma técnica usada para interferir nas consultas que um aplicativo faz ao seu banco de dados. Isso ocorre devido à escape insuficiente de dados fornecidos pelo usuário e falta de preparação na consulta SQL. A falha é acionada via o hook `user register` durante o registro do WooCommerce My Account, permitindo que invasores anexem consultas maliciosas para extrair informações sensíveis do banco de dados usando o parâmetro `email`.

Existe uma Referência Direta a Objeto Insegura devido à falta de validação em uma chave controlada pelo usuário. Atacantes não autenticados podem ler informações de identificação pessoal (PII) de faturamento, como nome, endereço de e-mail, número de telefone e endereço completo, enumerando IDs de pedido sequenciais. Isso ocorre porque os dados são emitidos no objeto JavaScript inline `fkwcs data` via `wp localize script` em cada resposta de página correspondente. O problema persiste mesmo que o WooCommerce rejeite a requisição, pois a chamada de script do plugin funciona independentemente da validação de chave de pedido padrão. O endpoint afetado é '/checkout/order-pay/<ID>/' utilizando o parâmetro `order-pay`.

Atacantes não autenticados podem executar shortcodes arbitrários porque o software não valida adequadamente um valor antes de executar a função `do shortcode()`. Este problema ocorre quando uma postagem pública é renderizada usando um template AE que inclui o widget AE Post Comments. A exploração é possível se o comentário do atacante estiver visível na página, o que pode acontecer se a moderação de comentários for flexibilizada ou se o atacante tiver um comentário aprovado anteriormente.

Atacantes não autenticados podem excluir qualquer anexo da biblioteca de mídia do WordPress e seu arquivo associado no diretório de uploads. Isso ocorre porque o manipulador AJAX `get table data()`, registrado via `wp ajax nopriv woot get table data`, não realiza a verificação de nonce nem a verificação de capacidade. Um atacante pode passar um valor específico para o parâmetro `wp columns actions` e um ID de anexo numérico através do parâmetro `table id`, que são então processados por `apply filters()`. Isso permite a execução de `wp delete attachment()` através de hooks como `upgrader scheduled cleanup` e `importer scheduled cleanup`. Este problema limita-se a posts de anexo acessíveis por ID numérico dentro do diretório `wp-content/uploads`.

Uma autorização incorreta permite a escalada de privilégios. O plugin não aplica as restrições de filtro de linha (`defaultWhere`) ou a lista de permissões por coluna (`isSelected`) nos endpoints de escrita, diferentemente dos endpoints de leitura. Isso permite que usuários autenticados com nível de Assinante ou superior, ou usuários não autenticados se o `rest api.authorization` estiver definido como 'anonymous', escrevam em linhas e colunas arbitrárias. Um invasor pode sobrescrever o campo `user pass` da conta de administrador do WordPress na tabela `wp users` para assumir o controle total do site. Isso ocorre quando um administrador publica um Data App que permite transações de escrita (atualização, exclusão ou inserção). Os endpoints afetados são 'wpda/app/update', 'wpda/app/delete' e 'wpda/app/insert', que passam os parâmetros `key` e `val` diretamente para as funções `$wpdadb->update`, `$wpdadb->delete` e `$wpdadb->insert`.

A sanitização insuficiente de entrada e a escape de saída inadequada permitem que atacantes autenticados com nível de acesso de assinante ou superior realizem Cross-Site Scripting Armazenado. Isso é feito injetando scripts web arbitrários através do parâmetro `display name`, que são executados quando um usuário acessa a página afetada.

Atacantes autenticados com nível de acesso customizado ou superior podem executar shortcodes arbitrários. Isso ocorre porque o software não valida adequadamente um valor antes de executar a função `do shortcode()`. O problema está vinculado à configuração `ampforwp-cat-description`, que é ativada por padrão.

Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes não autenticados podem enumerar IDs de pedidos do WooCommerce usando o parâmetro `preview order` para exfiltrar informações de identificação pessoal (PII) dos clientes, incluindo nomes de faturamento, endereços, números de telefone e endereços de e-mail. O processo envolve duas requisições não autenticadas: primeiro, a obtenção de um nonce reutilizável do cabeçalho 302 Location retornado pelo manipulador `admin init()`, e segundo, o envio desse nonce com um ID de pedido arbitrário para o endpoint de visualização.

Atacantes não autenticados podem executar shortcodes arbitrários porque o software não valida adequadamente um valor antes de executar a função `do shortcode()`. Shortcodes são pequenos trechos de código usados no WordPress para gerar conteúdo dinamicamente.

Existe um problema que permite que atacantes não autenticados extraiam todas as linhas e colunas da tabela do banco de dados associada a qualquer aplicativo publicado anonimamente. Isso inclui dados sensíveis, como hashes de senha de usuários do WordPress, endereços de e-mail e chaves de redefinição de senha da tabela `wp users`. A falha é acionada através do parâmetro `rel tab`. A exploração é possível se um administrador tiver publicado pelo menos um aplicativo com a autorização da REST API configurada como 'anonymous', que é a configuração padrão para aplicativos incorporados publicamente.

Atacantes não autenticados podem excluir permanentemente qualquer anexo da biblioteca de mídia do WordPress, incluindo arquivos no disco, explorando uma falha na função `delete reviews image()`. O problema ocorre porque o hook `delete comment` confia em IDs de anexo fornecidos via parâmetro POST `wcpr image upload id` sem verificar a propriedade ou as permissões do usuário. Embora a função `viwcpr filter review image ids()` verifique se o ID se refere a um tipo de postagem de anexo, ela não verifica a autorização do remetente. Um atacante pode inserir IDs de anexo específicos em um comentário de avaliação e disparar a exclusão quando um moderador remover a avaliação ou quando o processo cron `wp scheduled delete` a expurgar. O nonce `wcpr image upload` é um valor público compartilhado, permitindo que esta ação seja realizada sem uma conta.

Atacantes não autenticados podem executar shortcodes arbitrários porque o software não valida adequadamente um valor antes de executar a função `do shortcode()`. Este problema ocorre quando um administrador configura um bloco de anúncios contendo tags dinâmicas como `{title}`, `{tag}`, `{category}` ou `{smart-tag}` com a exibição habilitada em páginas de pesquisa.

O acesso não autorizado a contas é possível devido ao uso de senhas previsíveis para contas de usuários fictícios integradas. A função `get dummy user passowrd()` gera uma senha compartilhada baseada em um hash da `AUTH KEY` e `site url()`. O valor completo do hash é exposto no campo oculto `uwp register hash` nas respostas do formulário de registro. Essas informações são acessíveis sem autenticação através do endpoint `/register/` e do manipulador AJAX `wp ajax nopriv uwp ajax register form`, independentemente de o registro de usuários estar habilitado. Um invasor pode recuperar a senha a partir de uma única requisição HTTP e autenticar-se como qualquer uma das 25 contas fictícias através do `wp-login.php`, o que pode levar à escalada de privilégios se uma conta fictícia possuir uma função elevada. Este problema afeta apenas sites onde um administrador criou usuários fictícios através da página de Ferramentas.

A sanitização insuficiente de entrada e a falta de escape de saída permitem que atacantes não autenticados realizem Stored Cross-Site Scripting. Ao manipular o atributo de shortcode `align` em comentários, um atacante pode injetar scripts web arbitrários que são executados quando os usuários visitam a página afetada. Este problema ocorre quando um administrador ativa a configuração 'Parse Vimeo and YouTube links' (`parse comments`), o que aciona a função `do shortcode()` no filtro `comment text`, renderizando atributos de shortcode armazenados sem o escape adequado.

Atacantes não autenticados podem extrair informações de identificação pessoal de membros da equipe, incluindo nomes completos, endereços de e-mail, números de telefone, gênero e fuso horário. Além disso, notas internas escritas por administradores para cada evento publicado podem ser recuperadas. Isso ocorre porque a matriz de provedores bruta não é removida antes de ser serializada na resposta JSON através do parâmetro `page`.