Matthew Rollings

A sanitização e a codificação insuficientes do conteúdo de avaliações do Google obtido via Serp API permitem que invasores não autenticados realizem Stored Cross-Site Scripting (XSS). Um invasor pode enviar uma avaliação maliciosa para a listagem do Google de uma empresa, que é então executada no navegador de qualquer visitante, incluindo administradores, ao visualizar uma página do WordPress que exibe as avaliações daquele Place ID específico através do widget Google Reviews.

Um problema de Stored Cross-Site Scripting (XSS) não autenticado existe devido a um hash de substituição previsível usado durante o processo de minificação de HTML e ao abuso de uma expressão regular. Isso permite que um invasor injete atributos HTML arbitrários na saída HTML final ao antecipar o formato do marcador.

A sanitização insuficiente de conteúdo dentro de um shortcode personalizado usado no recurso de codificação de e-mail permite que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS). Isso possibilita a injeção de scripts web arbitrários em comentários aprovados, que são executados quando qualquer usuário, incluindo administradores, visualiza a postagem.

O plugin FV Flowplayer Video Player para WordPress contém um problema de Cross-Site Scripting (XSS) Armazenado causado por sanitização de entrada e escape de saída insuficientes no texto dos comentários. Isso permite que atacantes não autenticados injetem scripts web arbitrários em páginas, que são executados quando um usuário visita a página afetada. A exploração bem-sucedida depende de o administrador ter habilitado a configuração `parse comments` (Parse Vimeo and YouTube links), que não é o padrão, e requer que um comentário enviado seja aprovado por um administrador antes que o payload seja entregue.

O manuseio inadequado da substituição de e-mail permite que usuários não autenticados realizem ataques de Cross-Site Scripting (XSS) Armazenado. Este problema ocorre devido ao tratamento inseguro da saída de substituição de e-mail e à validação de entrada ou codificação de saída inadequada, permitindo que conteúdo controlado pelo invasor seja persistido e renderizado como um script. Um invasor pode injetar remotamente payloads manipulados durante o processo de substituição de e-mail que são posteriormente servidos a visitantes ou administradores. Isso pode levar à execução de JavaScript arbitrário no navegador da vítima, resultando potencialmente no sequestro de sessão administrativa, redirecionamentos maliciosos e a tomada de controle do site.

O plugin está sujeito à leitura arbitrária de arquivos através do widget Draw SVG. Isso permite que atacantes autenticados com nível de acesso de Colaborador ou superior leiam arquivos arbitrários no servidor, potencialmente expondo informações sensíveis.

O plugin Email Encoder para WordPress não escapa endereços de e-mail recuperados via entrada de usuário. Isso permite que atacantes não autenticados realizem Cross-Site Scripting (XSS) Armazenado, uma técnica onde scripts maliciosos são armazenados permanentemente no servidor alvo e executados no navegador de usuários que visualizam a página afetada.

A Execução Remota de Código é possível através do recurso Display Logic. O problema ocorre porque o plugin utiliza a função `eval()` em expressões de Display Logic fornecidas pelo usuário com uma blocklist/allowlist insuficiente que pode ser burlada usando `array map` com concatenação de strings. Além disso, há uma falta de imposição de autorização no atributo `extended widget opts block`. Isso permite que atacantes autenticados, com nível de acesso de Colaborador (Contributor) ou superior, executem código arbitrário no servidor.

O manuseio inadequado da substituição de e-mail permite que usuários não autenticados realizem ataques de Cross-Site Scripting (XSS) Armazenado quando a configuração do codificador de e-mail está ativada. O XSS Armazenado ocorre quando um script malicioso é armazenado permanentemente no servidor alvo, sendo posteriormente servido a outros usuários.

Cross-Site Scripting (XSS) Armazenado não autenticado é possível devido a um hash de substituição previsível usado durante o processo de minificação de HTML e ao abuso de uma expressão regular. Isso permite que um invasor antecipe o formato do marcador e injete atributos HTML arbitrários na saída HTML final.

The Autoptimize plugin for WordPress is susceptible to Stored Cross-Site Scripting through the lazy-loading image processing. This is caused by an overly permissive regular expression in the `add lazyload` function. The regular expression replaces all instances of `ssrc=` in image tags without restriction to the actual attribute. This allows authenticated attackers with Contributor-level access or higher to inject arbitrary web scripts into pages. Attackers can achieve this by creating an image tag where the `src` URL contains a space followed by `src=`, which breaks the HTML structure and promotes text inside attribute values into executable HTML attributes.

O software contém uma falha em suas regras de substituição de regex que permite um ataque XSS armazenado não autenticado. Isso ocorre quando um link malicioso é postado como comentário e, em seguida, aprovado com o lightbox para comentários ativado. O problema permite que um atacante insira código malicioso que será executado quando outros usuários visualizarem o comentário.

O plugin CubeWP para WordPress apresenta um problema de exposição de informações. Restrições insuficientes na funcionalidade de busca no arquivo `class-cubewp-search-ajax-hooks.php` permitem que atacantes não autenticados acessem dados de posts protegidos por senha, privados ou rascunhos que não deveriam poder visualizar. A funcionalidade de busca vulnerável permite a extração de informações sensíveis.

O plugin Brizy – Page Builder para WordPress está suscetível à divulgação de informações sensíveis. Atacantes autenticados com acesso de nível de Contribuidor ou superior podem extrair dados sensíveis, incluindo endereços de e-mail e senhas com hash de administradores, através da função `get users()`.

O plugin a3 Lazy Load para WordPress é vulnerável a Cross-Site Scripting Armazenado devido à sanitização inadequada de entrada e ao escape de saída de atributos fornecidos pelo usuário. Isso permite que atacantes autenticados com acesso de nível de colaborador ou superior injetem scripts web arbitrários nas páginas. Esses scripts serão executados quando um usuário acessar a página afetada.

O plugin Royal Elementor Addons and Templates para WordPress está suscetível a Cross-Site Scripting Armazenado. O problema ocorre devido à sanitização de entrada e escape de saída insuficientes relacionados à variável `item['field id']`. Isso permite que atacantes autenticados com acesso de nível de Contribuidor ou superior injetem scripts web arbitrários nas páginas. Esses scripts serão executados quando um usuário acessar a página afetada.

O software contém uma vulnerabilidade de Stored Cross-Site Scripting devido à sanitização de entrada e escape de saída insuficientes. Atacantes autenticados com acesso de nível de Contribuidor ou superior podem injetar scripts web arbitrários nas páginas. Esses scripts serão executados quando um usuário acessar a página injetada. A vulnerabilidade está presente nos parâmetros 'api' e 'type'.

O tema kallyas para WordPress é vulnerável a Cross-Site Scripting Armazenado através de múltiplos shortcodes. A sanitização de entrada e o escape de saída insuficientes em atributos fornecidos pelo usuário permitem que atacantes autenticados com acesso de nível de contribuidor ou superior injetem scripts web arbitrários nas páginas. Esses scripts serão executados quando um usuário acessar a página afetada.

O plugin WP Delicious – Recipe Plugin for Food Bloggers (anteriormente Delicious Recipes) para WordPress permite que um atacante com permissões de nível de Contribuidor faça upload de arquivos maliciosos. Isso ocorre ao importar receitas via CSV, especificamente ao fornecer uma URL remota durante o processo de importação. A exploração bem-sucedida pode levar à Execução Remota de Código (RCE). A vulnerabilidade envolve upload arbitrário de arquivos, permitindo que o atacante faça upload de um arquivo PHP. O componente vulnerável é a funcionalidade de importação de CSV.

O tema kallyas para WordPress é vulnerável a Execução Remota de Código através do widget do pagebuilder `TH PhpCode`. O problema ocorre porque o tema não restringe o acesso ao widget do editor de código para usuários que não são administradores. Isso permite que atacantes autenticados com acesso de nível de Contribuidor ou superior executem código no servidor. O widget `TH PhpCode` é o componente específico envolvido neste problema.