M0Ze

Uma falha de cross-site scripting persistente permite que atacantes autenticados injetem código HTML e JavaScript malicioso. Isso ocorre por meio do campo de descrição da proposta através do endpoint 'create proposal'. O código injetado é executado quando administradores ou outros usuários visualizam a proposta armazenada, o que pode levar a redirecionamentos maliciosos e ao roubo de cookies.

Um problema de cross-site scripting armazenado permite que atacantes não autenticados injetem scripts maliciosos através do campo de entrada do chat. Ao enviar payloads contendo tags de script e manipuladores de eventos, os atacantes podem executar código na área administrativa, o que pode levar ao roubo de cookies ou redirecionamentos forçados para sites maliciosos.

A vulnerabilidade permite a alteração de configurações por usuários autenticados no plugin Biplob018 Shortcode Addons no WordPress.

O problema diz respeito a uma vulnerabilidade de alteração de opções autenticadas no WordPress. Está relacionado ao plugin Flipbox de Biplob Adhikari no WordPress.

O problema está relacionado a uma vulnerabilidade de alteração de opções do WordPress em usuários autenticados. Ela afeta o plugin Tabs de Biplob Adhikari no WordPress, onde um usuário com privilégios elevados pode se autenticar e alterar opções.

O problema diz respeito a várias vulnerabilidades de controle de acesso comprometido. Não há informações sobre o número estimado de dispositivos potencialmente afetados em todo o mundo nem sobre incidentes reais em que essa vulnerabilidade tenha sido explorada.

O problema diz respeito a várias vulnerabilidades de Persistent Cross-Site Scripting (XSS) autenticadas. Essas vulnerabilidades exigem que o invasor tenha, no mínimo, a função de colaborador ou uma função de usuário superior. O número estimado de dispositivos potencialmente afetados em todo o mundo não foi especificado. Não há informações disponíveis sobre incidentes reais em que essa vulnerabilidade tenha sido explorada.

O problema diz respeito a várias vulnerabilidades de injeção de SQL em ambiente autenticado. Essas vulnerabilidades podem ser exploradas por usuários com a função de assinante ou superior. O número estimado de dispositivos potencialmente afetados em todo o mundo não foi especificado. Não há informações disponíveis sobre incidentes reais em que essa vulnerabilidade tenha sido explorada.

O problema está relacionado a uma vulnerabilidade de atualização arbitrária de opções sem autenticação. Isso permite modificações não autorizadas nas opções.

O problema diz respeito a uma vulnerabilidade de alteração não autenticada das opções do WordPress. Isso permite alterações não autorizadas nas opções do WordPress.

A vulnerabilidade está relacionada a um ataque de Cross-Site Scripting refletido, devido à sanitização insuficiente de entradas e à falta de escapamento de saídas no parâmetro `frameid`, localizado no arquivo ~/src/Package/views/shortcode-iframe.php.

A vulnerabilidade permite que usuários com privilégios elevados insiram código JavaScript malicioso devido à falta de sanitização nas configurações de `updraft service`, levando a uma vulnerabilidade de Stored Cross-Site Scripting.

**Nome do software vulnerável e versões afetadas: NewsOne CMS versão 1.1.0 Descrição: A falha permite que invasores enviem arquivos arbitrários, o que pode levar ao envio de webshells e à execução de comandos arbitrários. Isso se deve a uma vulnerabilidade no componente de envio de arquivos, especificamente no campo de entrada `user image`. Recomendações: Para o NewsOne CMS versão 1.1.0, considere desativar o recurso de upload de arquivos, particularmente o componente `user image`, até que uma correção esteja disponível para evitar possíveis explorações. Restrinja o acesso a este componente para minimizar o risco de execução de comandos arbitrários.

O problema decorre do fato de o plugin não validar suas configurações `caching exclude urls` e `caching include query strings` antes de exibi-las em um arquivo PHP, o que poderia levar à execução remota de código (RCE).

O problema está relacionado a uma vulnerabilidade de tipo “Cross-Site Scripting” (XSS) armazenada e autenticada. Ele ocorre porque algumas configurações não são devidamente sanitizadas ou escapadas antes de serem salvas e exibidas no painel de administração. Isso pode acontecer mesmo quando a funcionalidade `unfiltered html` está desativada.

A vulnerabilidade permite que usuários com privilégios elevados utilizem código JavaScript malicioso nas configurações de “Bar Text”, levando a uma vulnerabilidade de tipo Stored Cross-Site Scripting. Essa vulnerabilidade será acionada nas configurações do plugin, bem como em toda a página inicial do blog quando a barra de boas-vindas estiver ativa.

A vulnerabilidade permite que usuários com privilégios elevados, como administradores, insiram cargas de XSS nas configurações `heading text` e CSS devido à falta de sanitização, levando a problemas de Stored Cross-Site Scripting.

A vulnerabilidade permite que usuários com privilégios limitados utilizem cargas de JavaScript nos parâmetros da página “my-resume”, levando a uma vulnerabilidade de Stored Cross-Site Scripting. Isso ocorre porque o plugin não sanitizou nem escapou vários de seus parâmetros antes de exibi-los na página.

A vulnerabilidade permite que usuários com privilégios elevados, como administradores, definam uma carga XSS nas configurações de psb positioning, que será executada em todas as páginas do blog. Isso ocorre devido à falha do plugin em sanitizar e validar adequadamente suas configurações.

A vulnerabilidade permite que usuários com privilégios elevados definam uma carga XSS nas configurações `lyte yt api key` e `lyte notification`, levando a problemas de Cross-Site Scripting armazenados devido à falta de sanitização ou escape dessas configurações antes de serem exibidas na página.