Naoki Kawahigashi

The LetsRecover WordPress plugin through 1.2.0 does not sanitize a user-supplied value that is used as a database column name in one of its unauthenticated AJAX actions, allowing unauthenticated attackers to append SQL to the query and read arbitrary data from the database, which is then returned through a second unauthenticated action.

The Oxygen MyData for WooCommerce WordPress plugin before 3.0.9 does not have proper authorisation, nor validate the authenticity of the request, on one of its payment callbacks, allowing unauthenticated users to mark arbitrary WooCommerce orders as completed.

The Simpler Checkout WordPress plugin before 1.5.4 does not properly restrict who can create orders and checks its automatic login link with a key that stays empty until the store owner configures the Simpler Checkout WordPress plugin before 1.5.4, allowing subscribers on stores that have not completed setup to log in as an administrator.

The Forminator Forms WordPress plugin before 1.58.4 does not verify that a Stripe Checkout payment has completed before returning a pending submission's after-payment response, allowing unauthenticated visitors to obtain the post-payment redirect URL and thank-you message of a payment-gated form without paying.

The Smoove abandoned cart trigger for WooCommerce WordPress plugin before 4.3.6 does not sanitise and escape abandoned-cart data submitted by visitors before outputting it in the admin dashboard, allowing unauthenticated users to perform Stored Cross-Site Scripting attacks against administrators.

Existe uma falha de bypass de autenticação no plugin WordPress Printaura-Woocommerce devido a restrições de acesso inadequadas na API REST do WooCommerce. Esta falha permite que atacantes não autenticados enviem solicitações para qualquer rota REST do WooCommerce para ler e modificar dados sensíveis da loja, incluindo pedidos de clientes, informações pessoais, configurações de pagamento e webhooks.

A validação insuficiente do caminho do arquivo antes da exclusão e a falta de restrições de acesso às telas de administração permitem que usuários com a função de Assinante ou superior excluam arquivos arbitrários no servidor. Este problema ocorre através do caminho de download do botão e pode levar ao comprometimento total do site.

O plugin não realiza verificações de capacidade ou nonce antes de salvar as configurações. Isso permite que usuários não autenticados enviem requisições POST que gravam conteúdo controlado pelo invasor, sem modificações, em um arquivo PHP independente servido pelo servidor, resultando na execução de código PHP arbitrário.

The Limit Login Attempts Security WordPress plugin before 3.4.1 does not confirm that its two-factor authentication step succeeded before completing a login and treats a failure to build that step as success, so an attacker who holds a protected user's password can bypass the second factor by sending a request header that breaks the step.

O plugin não impede a divulgação de credenciais de administrador armazenadas para usuários não autenticados e não verifica a autenticação corretamente. Isso permite que invasores não autenticados obtenham credenciais de administrador e ganhem acesso administrativo total ao site.

O plugin Userplace para WordPress não realiza verificações de autorização em uma ação AJAX disponível para usuários não autenticados. Além disso, o nonce (um token único usado para prevenir falsificação de requisição cross-site) que protege essa ação é exposto publicamente. Isso permite que atacantes não autenticados criem uma conta de administrador ou escrevam opções arbitrárias no site, levando ao controle total do site.

Existe um problema onde um cabeçalho de requisição não é validado ou escapado antes de ser gravado em um arquivo PHP regenerado em um hook de administrador desprotegido. Isso permite que atacantes não autenticados executem código arbitrário se a página de erro de banco de dados personalizada estiver habilitada e o atacante vencer uma condição de corrida contra um administrador que esteja salvando as configurações.

The iLeads SMS Gateway by Exsile WordPress plugin before 2.0.0 does not check capabilities or nonces in several AJAX actions that update a site option chosen by the request, allowing any authenticated user, such as a subscriber, to change arbitrary WordPress options and escalate to administrator, for example by enabling registration with administrator as the default role.

O plugin não sanitiza nem parametriza valores de requisição antes de utilizá-los em consultas SQL em várias rotas REST não autenticadas. Isso permite que atacantes não autenticados realizem injeção de SQL para obter uma sessão de administrador.

The All-in-One Video Gallery WordPress plugin before 5.1.0 does not check the type, status or ownership of the target post before writing its view count and duration meta, allowing unauthenticated visitors to create or change that meta on any post, including private and draft posts, and to inflate the view count without limit.

The Quick Event Manager WordPress plugin before 9.19 does not verify the authenticity of PayPal payment notifications before marking event registrations as paid, which could allow unauthenticated attackers to mark registrations as paid without making a payment.

O plugin não sanitiza um valor de seu callback de pagamento antes de utilizá-lo em uma instrução SQL. Além disso, o sistema trata uma chave de API vazia, que é a configuração padrão, como autenticação válida. Isso permite que atacantes remotos não autenticados realizem a divulgação de informações, lendo dados arbitrários do banco de dados.

Existe um problema onde um endpoint público não exige um segredo válido e não vazio para retornar seu token de API armazenado. Um invasor não autenticado pode usar esse token em um segundo endpoint público para recuperar a URL de pedido recebido de qualquer pedido do WooCommerce, permitindo a leitura do nome, endereço, telefone e e-mail do cliente. Esses endpoints estão acessíveis por padrão e são fechados apenas após a conexão de uma conta WATI.

Existe uma falha de autenticação onde o plugin não verifica a autenticidade das notificações de pagamento recebidas pelo seu callback de gateway. Isso ocorre porque a verificação de integridade é ignorada quando o segredo do webhook permanece em seu valor padrão vazio, o que significa que nenhuma validação de assinatura é aplicada. Consequentemente, invasores não autenticados podem marcar pedidos arbitrários do WooCommerce como pagos ou falhos sem realizar nenhuma transação de pagamento real.

Este problema ocorre porque o plugin não verifica a autenticidade das notificações de pagamento quando o segredo do comerciante não está definido, que é o estado padrão. Essa falta de verificação de pagamento no lado do servidor permite que invasores não autenticados forjem confirmações de pagamento e marquem pedidos como pagos sem realizar a transação real.