Manuel Garcia Cardenas

Foi detectada uma falha no plugin Easy Table, afetando uma parte desconhecida do arquivo /wordpress/wp-admin/options-general.php. A manipulação com a entrada "><script>alert(1)</script> leva a um ataque de cross-site scripting básico. É possível iniciar o ataque remotamente.

Foi identificada uma vulnerabilidade crítica no plugin Kama Click Counter. Este problema afeta uma parte desconhecida do arquivo wp-admin/admin.php. A manipulação do argumento `order by/order` com a entrada `ASC%2c(select*from(select(sleep(2)))a)` leva a uma injeção de SQL (Blind). É possível iniciar o ataque remotamente. A exploração foi divulgada ao público e pode estar em uso.

A vulnerabilidade permite um ataque XSS persistente por meio do nome de um grupo de usuários na configuração de segurança. Isso pode ser explorado para executar scripts maliciosos no sistema afetado.

The issue allows for XSS via the `m1 name` parameter in the "Add Article" section under Content -> Content Manager -> News.

The issue allows an attacker to upload a malicious file to any folder on the site via a cpi directory traversal in the Pixidou Image Editor.

A cross-site scripting issue allows remote attackers to inject arbitrary web script or HTML via the `cat description` parameter in an "updatecat" action to "admin/categories.php".

The issue allows remote attackers to inject arbitrary web script or HTML. This can be achieved via the QUERY STRING to "wb/admin/admintools/tool.php" or the `section id` parameter to several files in the wb/modules/ directory, including "edit module files.php", "news/add post.php", "news/modify group.php", "news/modify post.php", and "news/modify settings.php".

A SQL injection issue allows remote attackers to execute arbitrary SQL commands. This is achieved via the `page id` parameter in the "admin/pages/modify.php" endpoint.

The issue is related to a cross-site scripting (XSS) vulnerability. This vulnerability allows remote attackers to inject arbitrary web script or HTML via the `photographer id` or ` crumb` parameter in the php/edit photos.php file.

The issue allows remote authenticated users to execute arbitrary SQL commands. This can be achieved via the ` action` parameter to `group.php` or `user.php`, or the `location id` parameter to `photos.php` in `php/`.

The issue allows remote attackers to inject arbitrary web script or HTML. This can be achieved via the `author name` or `content` parameter to "index.php".

The issue allows remote authenticated users to execute arbitrary SQL commands. This is achieved via the `selgroups` parameter in the `/htdocs/modules/system/admin.php` API endpoint.