Naoya Takahashi

The Cookie Banner for GDPR / CCPA – WPLP Cookie Consent plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'wpl user preference' parameter in all versions up to, and including, 4.4.1 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The consent-logging AJAX endpoint is registered for unauthenticated users and its required nonce (wpl consent logging nonce) is publicly emitted via wp localize script on the frontend, meaning any unauthenticated site visitor can plant a payload without any prior authentication or privileged access.

**Nome do Software Vulnerável e Versões Afetadas** Cookie Banner for GDPR / CCPA – WPLP Cookie Consent versões anteriores a 4.3.6 **Descrição** Ocorre Cross-Site Scripting (XSS) Armazenado devido à sanitização de entrada e escape de saída insuficientes. Isso permite que atacantes não autenticados injetem scripts web arbitrários em páginas que são executados quando acessados por usuários. A exploração é possível se o administrador do site tiver habilitado a configuração 'Support Google Consent Mode (GCM)'. Além disso, o manipulador AJAX não realiza verificações de nonce ou de capacidade, permitindo que qualquer usuário autenticado, incluindo aqueles com nível de acesso Assinante, sobrescreva a configuração afetada do plugin através do parâmetro `regionArray`. **Recomendações** Atualize o plugin para uma versão posterior a 4.3.5. Desative a configuração 'Support Google Consent Mode (GCM)' para evitar a exploração.

**Nome do Software Vulnerável e Versões Afetadas** King Addons for Elementor versões anteriores a 51.1.63 **Description** O Cross-Site Scripting (XSS) Armazenado ocorre quando uma aplicação inclui dados não confiáveis em uma página web sem a devida validação ou escape, permitindo que um script malicioso seja armazenado permanentemente no servidor e executado no navegador de outros usuários. O problema existe devido à sanitização insuficiente de entrada na função `add to submissions()`, que utiliza `sanitize text field()` no parâmetro `form page id`, falhando em remover caracteres de aspas duplas antes de armazenar o valor nos metadados do post. Além disso, a função `king addons submissions custom column content()` não realiza o escape do valor armazenado usando `esc url()` ao concatená-lo em um atributo href HTML via `admin url()`. Atacantes autenticados com nível de acesso de assinante ou superior podem explorar isso para injetar scripts web arbitrários que serão executados quando um usuário acessar a página afetada. **Recommendations** Atualize o King Addons for Elementor para uma versão posterior à 51.1.62.

**Nome do Software Vulnerável e Versões Afetadas** VikBooking Hotel Booking Engine & PMS versões anteriores a 1.8.9 **Descrição** A sanitização de entrada e a codificação de saída insuficientes permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente no servidor alvo. O problema ocorre através do parâmetro `email`, permitindo a injeção de scripts web arbitrários que são executados sempre que um usuário acessa uma página afetada. **Recomendações** Atualize para uma versão posterior a 1.8.8. Restrinja o uso do parâmetro `email` até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** Bookly versões anteriores a 27.3 **Description** O plugin Online Scheduling and Appointment Booking System – Bookly para WordPress contém um problema de Stored Cross-Site Scripting. Isso ocorre devido à sanitização de entrada e escape de saída insuficientes relacionados ao cookie `bookly-customer-full-name`. Atacantes não autenticados podem injetar scripts web arbitrários em páginas, que são executados quando um usuário acessa a página afetada. Este problema só é explorável se a configuração 'Remember personal information in cookies' estiver habilitada. **Recommendations** Atualize para uma versão posterior a 27.2. Desabilite a configuração 'Remember personal information in cookies' para mitigar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** GEO my WP versões anteriores a 4.5.6 **Descrição** O plugin está sujeito a SQL Injection, permitindo que atacantes não autenticados anexem consultas SQL adicionais para extrair informações sensíveis do banco de dados. O problema ocorre porque os parâmetros `swlatlng` e `nelatlng` são lidos de `$ SERVER['QUERY STRING']` via `parse str()`, ignorando a proteção padrão do WordPress. Esses parâmetros são então divididos e interpolados diretamente em uma cláusula SQL BETWEEN dentro da função `gmw get locations within boundaries sql()` sem a devida validação, conversão ou escape. A exploração requer que o site hospede o shortcode de resultados de pesquisa do Posts Locator (`[gmw form="results" form id=N]`) em uma página pública e possua pelo menos uma postagem publicada com uma linha `gmw location` associada. **Recomendações** Atualize para uma versão posterior a 4.5.5. Como medida paliativa temporária, evite usar os parâmetros `swlatlng` e `nelatlng` ou restrinja o acesso a páginas que hospedam o shortcode de resultados de pesquisa do Posts Locator.

**Nome do Software Vulnerável e Versões Afetadas** NEX-Forms – Ultimate Forms Plugin for WordPress versões anteriores a 9.1.12 **Descrição** A sanitização de entrada e a escape de saída insuficientes na função `submit nex form()` permitem que atacantes não autenticados injetem scripts web arbitrários por meio de nomes de parâmetros POST. Esses scripts são executados sempre que um usuário acessa uma página afetada. Trata-se de um problema de Cross-Site Scripting Armazenado, onde scripts maliciosos são armazenados permanentemente no servidor alvo. **Recomendações** Atualize o plugin para uma versão posterior a 9.1.11. Como medida paliativa temporária, restrinja o acesso à função `submit nex form()` para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** Geo Mashup versões anteriores a 1.13.19 **Descrição** O plugin Geo Mashup para WordPress permite que atacantes não autenticados extraiam informações confidenciais do banco de dados usando uma abordagem de Injeção de SQL cega baseada em tempo. Isso ocorre porque o hook `SearchResults` utiliza `stripslashes deep($ POST)`, que remove a proteção, e subsequentemente concatena o parâmetro `map post type` não sanitizado em uma cláusula `IN(...)` sem utilizar `esc sql()` ou `$wpdb->prepare()`. Este problema está presente especificamente no ramo else do código, enquanto o ramo any é tratado corretamente. A exploração é possível apenas se o recurso Geo Search estiver habilitado nas configurações do plugin. **Recomendações** Atualize para uma versão posterior a 1.13.18. Como medida paliativa temporária, desabilite o recurso Geo Search nas configurações do plugin para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** Geo Mashup versões anteriores a 1.13.19 **Descrição** O plugin Geo Mashup para WordPress contém uma falha de injeção de SQL baseada em tempo (time-based blind SQL injection). Este problema permite que atacantes não autenticados anexem consultas SQL adicionais a consultas existentes para extrair informações sensíveis do banco de dados. A falha ocorre porque os parâmetros fornecidos pelo usuário não são suficientemente escapados ou preparados antes de serem usados em consultas SQL. Especificamente, a função `esc sql()` é utilizada, mas não protege contra a injeção de parênteses ou palavras-chave SQL quando os valores são colocados em contextos `IN(...)` ou `NOT IN(...)` não citados. Embora exista um sanitizador apenas numérico na função `sanitize query args()`, ele é utilizado apenas no caminho de código AJAX e está ausente nos caminhos de código `render-map.php` e nas tags de template. Os parâmetros afetados são 'object ids' e 'exclude object ids'. **Recomendações** Atualize o plugin para uma versão posterior à 1.13.18.

**Nome do Software Vulnerável e Versões Afetadas** Geo Mashup versões anteriores a 1.13.19 **Descrição** O plugin Geo Mashup para WordPress contém uma falha de injeção de SQL baseada em tempo (time-based blind SQL injection). Este problema ocorre porque o parâmetro `sort` não é devidamente escapado ou preparado antes de ser usado em uma consulta SQL, especificamente na cláusula `ORDER BY`, onde a função `esc sql()` é ineficaz porque o valor não está entre aspas. Embora exista um sanitizador baseado em lista de permissões `sanitize sort arg()`, ele está implementado apenas na função `sanitize query args()` para requisições AJAX e está ausente nos caminhos de código do `render-map.php` e das tags de modelo. Consequentemente, invasores não autenticados podem anexar consultas SQL maliciosas para extrair informações sensíveis do banco de dados. **Recomendações** Atualize o plugin para uma versão posterior a 1.13.18. Como medida paliativa temporária, restrinja o acesso ao arquivo `render-map.php` e evite o uso do parâmetro `sort` em tags de modelo até que a atualização seja aplicada.

**Name of the Vulnerable Software and Affected Versions** MasterStudy LMS WordPress Plugin for Online Courses and Education versões anteriores a 3.7.26 **Description** Existe um problema onde atacantes autenticados com nível de acesso de assinante ou superior podem realizar injeção de SQL cega baseada em tempo. Isso ocorre por meio dos parâmetros 'order' e 'orderby' no endpoint da API REST '/lms/stm-lms/order/items'. A falha decorre de sanitização insuficiente de entrada e um erro de design na classe customizada Query builder que permite a injeção de SQL não cotada em cláusulas ORDER BY. Especificamente, quando o Query builder detecta parênteses no parâmetro `sort by`, ele trata o valor como uma função SQL e o concatena diretamente na cláusula ORDER BY sem aspas. Embora o `esc sql()` seja utilizado, ele não consegue evitar a injeção quando os valores não estão envolvidos por aspas. Isso permite a extração de informações sensíveis do banco de dados, como credenciais de usuário e tokens de sessão. **Recommendations** Atualize para uma versão posterior a 3.7.25. Como medida paliativa temporária, restrinja o acesso ao endpoint da API REST '/lms/stm-lms/order/items' ou limite o uso dos parâmetros `order` e `orderby`.

**Name of the Vulnerable Software and Affected Versions** Form Maker by 10Web versões anteriores a 1.15.41 **Description** O Cross-Site Scripting Armazenado é possível através do campo Matrix (tipo de entrada Text Box) em envios de formulários. O problema decorre de uma sanitização de entrada insuficiente utilizando a função `sanitize text field`, que remove tags mas não remove aspas, combinada com a falta de escape de saída ao renderizar os dados de envio na visualização de Envios do administrador. Isso permite que atacantes não autenticados injetem JavaScript arbitrário que é executado no navegador de um administrador que visualize os detalhes do envio. **Recommendations** Atualize para uma versão posterior a 1.15.40.

**Name of the Vulnerable Software and Affected Versions** Popup Builder plugin for WordPress versions up to and including 4.4.1 **Description** The Popup Builder plugin for WordPress is susceptible to Stored Cross-Site Scripting. This is due to insufficient input sanitization and output escaping on user-supplied attributes within the plugin’s `sg popup` shortcode. Authenticated attackers with contributor-level access or higher can inject arbitrary web scripts into pages. These scripts will execute when a user accesses the affected page. **Recommendations** Update the Popup Builder plugin to a version later than 4.4.1.

**Nome do Software Vulnerável e Versões Afetadas** Extensive VC Addons for WPBakery page builder plugin for WordPress versões anteriores à 1.9.2 **Descrição** O software está suscetível a uma vulnerabilidade de Inclusão de Arquivo Local devido à normalização de caminho e validação insuficientes do parâmetro `shortcode name` dentro da ação AJAX `extensive vc init shortcode pagination` e da função `extensive vc get module template part`. Isso permite que atacantes não autenticados incluam e executem arquivos PHP arbitrários no servidor, potencialmente permitindo a execução de qualquer código PHP dentro desses arquivos. **Recomendações** Atualize o Extensive VC Addons for WPBakery page builder plugin for WordPress para a versão 1.9.2 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Versões do RafflePress até e incluindo a 1.12.19 **Descrição** O plugin Giveaways and Contests by RafflePress para WordPress está suscetível a Cross-Site Scripting Armazenado devido à sanitização de entrada e ao escape de saída inadequados. Isso permite que atacantes não autenticados injetem scripts web arbitrários nas páginas. Esses scripts serão executados quando um usuário acessar a página afetada. O problema decorre de múltiplos parâmetros de nome de usuário de mídia social. **Recomendações** Atualize o RafflePress para uma versão posterior à 1.12.19.

**Nome do Software Vulnerável e Versões Afetadas** Plugin Data Tables Generator by Supsystic para WordPress versões até a 1.10.45 **Descrição** O plugin Data Tables Generator by Supsystic para WordPress possui uma falha que permite a atacantes autenticados com acesso de nível de Administrador ou superior excluir arquivos arbitrários no servidor. Isso se deve à validação inadequada do caminho do arquivo dentro da função `cleanCache()`. A exclusão de arquivos específicos, como `wp-config.php`, pode levar à execução remota de código. **Recomendações** Atualize o plugin Data Tables Generator by Supsystic para WordPress para uma versão posterior à 1.10.45.

**Nome do Software Vulnerável e Versões Afetadas** Plugin Asgaros Forum para WordPress, versões até e incluindo 3.1.0 **Descrição** O plugin Asgaros Forum para WordPress está suscetível a Injeção de SQL devido ao escape insuficiente de dados fornecidos pelo usuário e à preparação inadequada das consultas SQL existentes. Especificamente, o cookie `$ COOKIE['asgarosforum unread exclude']` é vulnerável. Isso permite que atacantes não autenticados injetem consultas SQL adicionais, potencialmente extraindo informações sensíveis do banco de dados. **Recomendações** Atualize para a versão 3.2.0 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** The Tag, Category, and Taxonomy Manager – AI Autotagger with OpenAI plugin para WordPress versões até 3.40.0 **Descrição** O software é vulnerável a Injeção de SQL devido à validação de entrada e preparação de consultas inadequadas. Especificamente, o parâmetro `post types` não é sanitizado corretamente, permitindo que atacantes autenticados com acesso de nível de Editor ou superior injetem consultas SQL. Isso pode levar à extração de informações sensíveis do banco de dados. **Recomendações** Atualize para uma versão superior à 3.40.0.

**Nome do Software Vulnerável e Versões Afetadas** Versões do WPCOM Member anteriores à 1.7.15 **Descrição** O plugin WPCOM Member para WordPress está suscetível a Inclusão Local de Arquivos. Esta vulnerabilidade afeta versões até à 1.7.14 inclusive e é acionada através do parâmetro `action` dentro de um shortcode. Atacantes autenticados com acesso de nível de Contribuidor ou superior podem explorar essa falha para incluir e executar arquivos .php arbitrários no servidor. A exploração bem-sucedida permite a execução de código PHP, potencialmente permitindo que os atacantes contornem controles de acesso e obtenham dados sensíveis. A vulnerabilidade pode levar à execução de código se o upload de arquivos .php estiver permitido. O parâmetro vulnerável é `action`. **Recomendações** Atualize o WPCOM Member para a versão 1.7.15 ou superior.

**Nome do Software Vulnerável e Versões Afetadas** Plugin Watu Quiz para WordPress versões anteriores à 3.4.5 **Descrição** O plugin Watu Quiz para WordPress está suscetível a Cross-Site Scripting (XSS) Armazenado através do cabeçalho HTTP Referer. Isso ocorre devido à sanitização de entrada e escape de saída inadequados quando a opção "Save source URL" está habilitada. Isso permite que atacantes não autenticados injetem scripts web arbitrários nas páginas. Esses scripts serão executados sempre que um usuário acessar a página injetada. **Recomendações** Atualize o plugin Watu Quiz para a versão 3.4.5 ou posterior.