Niv Kochan

**Nome do Software Vulnerável e Versões Afetadas** WCFM – Frontend Manager for WooCommerce versões anteriores a 6.7.28 **Descrição** Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Especificamente, o ramo `wcfm-my-account-enquiry-manage` não realiza as verificações `is user logged in()` ou `current user can()`, dependendo apenas de um nonce que é incorporado em carregamentos de páginas públicas. Isso permite que atacantes não autenticados injetem conteúdo de resposta arbitrário em consultas de loja, sobrescrevam o registro principal de consulta em `wp wcfm enquiries` e disparem e-mails de notificação não solicitados para clientes e fornecedores. **Recomendações** Atualize o WCFM – Frontend Manager for WooCommerce para a versão 6.7.28 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** KiviCare – Clinic & Patient Management System (EHR) versões anteriores a 4.4.1 **Descrição** Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes não autenticados podem explorar isso para marcar agendamentos pendentes como Confirmados e forjar registros de pagamento concluídos na tabela `wp kc payments appointment mappings` usando um ID de pagamento fornecido, ignorando completamente o processo de pagamento. Isso é possível em instalações padrão porque a lógica de resolução de gateway retorna todos os gateways registrados, independentemente do status de ativação do administrador, tornando o gateway manual (KCPayLater) sempre selecionável através do endpoint REST `/payment-success`. **Recomendações** Atualize o plugin para uma versão posterior à 4.4.0. Restrinja o acesso ao endpoint REST `/payment-success` para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** Eventin – Event Calendar, Event Registration, Tickets & Booking (AI Powered) versões 4.0.26 through 4.1.15 **Description** Existe uma falha de bypass de autorização porque a função `payment complete()` em `PaymentController.php` não verifica adequadamente se um usuário está autorizado a realizar uma ação. Atacantes não autenticados podem marcar pedidos de ingressos não pagos como concluídos ao enviar um ID de checkout do SureCart ou um hash de carrinho do FluentCart fabricados. Isso permite que usuários não autorizados obtenham acesso a eventos pagos, ingressos de participante via código QR e e-mails de confirmação de pedido sem realizar o pagamento. O nonce `wp rest` necessário está disponível em todas as páginas públicas de eventos, eliminando a necessidade de sessões ou credenciais do WordPress. Este problema é uma regressão, pois a função e o endpoint foram corrigidos anteriormente, mas a correção não persistiu em versões posteriores. **Recommendations** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

**Nome do Software Vulnerável e Versões Afetadas** GamiPress – Gamification plugin for WordPress versões anteriores a 7.9.5 **Descrição** Existe uma Referência Direta Insegura a Objetos (IDOR) devido à falta de validação em uma chave controlada pelo usuário. Isso permite que invasores não autenticados visualizem entradas privadas do log de atividades de qualquer usuário, incluindo alterações no saldo de pontos, conquistas de emblemas e registros de eventos de plugins integrados como WooCommerce, LearnDash e BuddyPress. O problema é explorável através do parâmetro `access`. O mecanismo de autenticação é contornado porque o nonce `gamipress` é transmitido a todos os usuários do front-end através da função `wp localize script` no hook `wp enqueue scripts`. **Recomendações** Atualize o plugin para a versão 7.9.5 ou posterior. Como mitigação temporária, restrinja o acesso ao parâmetro `access` até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** Kirki – Freeform Page Builder, Website Builder & Customizer versões anteriores a 6.0.12 **Descrição** Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Isso permite que atacantes não autenticados enviem e-mails com injeção de HTML para usuários registrados usando o próprio servidor de e-mail do site, aproveitando a reputação SPF (Sender Policy Framework) e DKIM (DomainKeys Identified Mail) para evitar filtros de spam. O problema ocorre porque o parâmetro `emailSubject` é passado para a função `wp mail()` com sanitização insuficiente, e os itens de texto do `emailBody` são concatenados no corpo do HTML sem escape. Além disso, itens de chip podem ser usados para incorporar links legítimos de redefinição de senha do WordPress para contas específicas. **Recomendações** Atualize para a versão 6.0.12 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** JetFormBuilder — Dynamic Blocks Form Builder versões anteriores a 3.6.4 **Descrição** Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Isso permite que atacantes não autenticados recuperem cada valor distinto armazenado sob qualquer chave `wp postmeta` arbitrária no site. Isso inclui informações de identificação pessoal (PII) de faturamento do WooCommerce, como os campos ` billing email`, ` billing phone` e ` billing address`, totais de pedidos, caminhos de anexo e credenciais ou tokens de plugins de terceiros armazenados nos metadados de postagens. A exploração é possível se o site tiver pelo menos um formulário JetFormBuilder publicado com um campo onde a `generator function` esteja definida como `get from db`. O atacante deve fornecer um ID de formulário, nome de campo e ID de gerador correspondentes na requisição, os quais podem ser descobertos navegando pelos formulários públicos do site. **Recomendações** Atualize para a versão 3.6.4 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** The Visualizer – Tables & Charts Manager with Built-in AI Generator versões anteriores a 4.0.4 **Description** Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Isso permite que atacantes não autenticados acessem e exportem o conteúdo de qualquer gráfico no site, incluindo aqueles com status de rascunho, privado, pendente, futuro ou lixeira, nos formatos CSV, Excel ou HTML. O problema ocorre através do endpoint REST `/wp-json/visualizer/v1/action/{chart}/{type}/`. Isso é significativo porque a rota registrada pelo plugin ignora as verificações de capacidade impostas pelo endpoint REST padrão do WordPress para o tipo de post personalizado não público 'visualizer'. **Recommendations** Atualize para uma versão posterior a 4.0.3. Restrinja o acesso ao endpoint REST `/wp-json/visualizer/v1/action/{chart}/{type}/` para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** K2 (versões afetadas não especificadas) **Descrição** O caminho de upload de anexos de artigos no frontend permite o upload de arquivos com a extensão `.php`. Quando utilizado com o mod php padrão do Apache, que corresponde ao padrão `.php$`, esses arquivos são executados sob o usuário web do K2. Isso permite que um usuário com privilégios de Autor do K2 faça o upload de um arquivo malicioso, como `shell.php`, e o acesse através do endpoint `/media/k2/attachments/shell.php` para executar código PHP arbitrário no contexto do servidor web. **Recomendações** No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.

A Joomla user with K2 "create item" rights (Author tier by default) can submit an article whose `embedVideo` POST field contains a raw `<script>` tag; K2 stores it verbatim and renders it unescaped to any visitor of the article page.

The K2 frontend `item.checkin` task accepts an unauthenticated `sigProFolder` query parameter and uses it directly to address a `JFolder::delete()` call under `/media/k2/galleries/`

K2 ≤ 2.26 renders the `# k2 users.image` column directly into HTML `src` attributes via two distinct templates, in both cases without HTML escaping.

K2 ≤ 2.24 contains a mass-assignment defect in the K2 system user plugin `plg user k2`. A Registered Joomla user, by including the field `K2UserForm=1` in a standard `com users` `profile.save` POST, can write arbitrary values into the `notes`, `image`, and `plugins` columns of their own row in the `# k2 users` table — none of which are exposed by the K2 frontend profile-edit form.

The K2 frontend article-save handler accepts an `attachment[N][existing]` POST field that is concatenated with `JPATH SITE/` and passed to `JFile::copy()`. `JPath::clean` does NOT strip `..`, and there is no allow-list of source paths. An Author can therefore copy `configuration.php` (or any other file readable by the web user — including `../../../etc/passwd`) into `/media/k2/attachments/`, then retrieve the contents via the K2 attachment-download endpoint.

The K2 article gallery upload path accepts a zip/tar archive, extracts it under `/media/k2/galleries/<id>/`, and only renames image files (gif/jpg/jpeg/png/webp) to safe names — non-image files (including `.php`) are extracted as-is and remain executable via direct HTTP access.

**Nome do Software Vulnerável e Versões Afetadas** Fluent Forms versões anteriores a 6.2.2 **Descrição** A validação insuficiente de caminho na função `getAttachments()` de `EmailNotificationActions` permite que atacantes autenticados com acesso de administrador leiam arquivos arbitrários acessíveis pelo usuário do servidor web, como o `wp-config.php` contendo credenciais do banco de dados e salts de autenticação. O problema ocorre porque URLs de upload de arquivos fornecidas por atacantes são resolvidas em caminhos de sistema de arquivos sem garantir que o caminho permaneça dentro do diretório de uploads do WordPress. Uma verificação de prefixo usando `strpos()` pode ser burlada com sequências de travessia, já que `wp normalize path()` não resolve segmentos `...`, que são subsequentemente resolvidos por `file exists()` no nível do kernel. Um atacante pode explorar isso enviando um formulário onde a notificação do administrador está configurada para anexar um campo de upload de arquivo e fornecendo uma URL manipulada no formato `<upload baseurl>/../../<target>` como valor do campo de arquivo. O arquivo alvo é então anexado ao e-mail de notificação do administrador via `wp mail()`. **Recomendações** Atualize o plugin para uma versão posterior a 6.2.1.

**Nome do Software Vulnerável e Versões Afetadas** LatePoint versões anteriores a 5.5.1 **Descrição** O plugin LatePoint para WordPress contém um problema de Cross-Site Scripting Armazenado. O problema ocorre no endpoint de atualização de perfil do gabinete do cliente porque o `OsCustomerModel` não sobrescreve `params to sanitize()`, permitindo que os parâmetros POST `first name`, `last name`, `phone` e `notes` sejam armazenados sem sanitização no banco de dados via `set data()`. Além disso, a função `generate preview()` não utiliza `esc html()` ao injetar esses valores no HTML do modelo de notificação usando `str replace()`. Atacantes autenticados com acesso de nível de cliente ou superior podem injetar scripts web arbitrários que são executados no navegador de um administrador ou agente quando um modelo de notificação que referencia variáveis como `customer full name`, `customer first name`, `customer last name`, `customer phone` ou `customer notes` é visualizado. **Recomendações** Atualize o plugin para uma versão posterior a 5.5.0.