Nox Axter

The GamiPress plugin for WordPress is vulnerable to authenticated (Subscriber+) SQL Injection via the 'q' parameter of the wpForo integration AJAX selector (action gamipress wpforo get posts) in versions up to, and including, 7.9.7. The value is passed only through $wpdb->esc like() and interpolated directly into a single-quoted LIKE clause with no %s placeholder. Because esc like() runs after WordPress core magic quotes, it doubles the injected backslash (' -> '), which MySQL reads as one literal backslash followed by a live closing quote, allowing the attacker to break out of the string and inject boolean-based SQL. The wpForo plugin only needs to be active to register the callback; no wpForo vulnerability is used. Requires a Subscriber account, which can read the gamipress admin nonce (exposed on every admin page, e.g. /wp-admin/profile.php). Note: the researcher's Simple:Press vectors (PoC 2 & 3) do not reproduce in current code, which uses $wpdb->prepare() with %s placeholders; only the wpForo selector is confirmed.

**Nome do Software Vulnerável e Versões Afetadas** User Access Manager versões anteriores a 2.3.13 **Descrição** Atacantes autenticados com nível de acesso de assinante ou superior podem realizar uma Injeção de SQL de Segunda Ordem. Isso ocorre por meio do parâmetro 'id' da ação AJAX `wp ajax save-attachment-compat`. O problema decorre da validação insuficiente do valor `objectId` na função `saveAjaxAttachmentData()`. Esse valor é posteriormente recuperado do banco de dados e usado como uma chave de array na função `addQueryExcludedPostFilter()`, onde é diretamente implodido em uma cláusula SQL NOT IN() sem a conversão para inteiro ou o uso de instruções preparadas. Isso permite que atacantes anexem consultas SQL adicionais para extrair informações sensíveis do banco de dados. **Recomendações** Atualize para uma versão posterior à 2.3.12. Como medida de mitigação temporária, restrinja o acesso à ação AJAX `wp ajax save-attachment-compat` para usuários com permissões de assinante.

**Nome do Software Vulnerável e Versões Afetadas** Cost Calculator Builder PRO versões anteriores a 4.0.4 **Descrição** Atacantes não autenticados podem executar código remotamente no servidor através da função `js to php()`. O problema decorre da sanitização insuficiente do campo `orderDetails[*].originalValue`, que é injetado em uma string de fórmula de calculadora e processada pela função `eval()` do PHP. Embora a função `evaluateFormula()` utilize uma lista de permissões regex para filtrar tokens alfanuméricos, ela não filtra caracteres de pontuação que não sejam palavras, permitindo o uso de gadgets XOR de não-palavras para ignorar as verificações de segurança. Apesar de existir uma verificação de nonce, o nonce necessário é exposto publicamente em todas as páginas front-end através do hook `wp head`, tornando a barreira de autenticação ineficaz. **Recomendações** Atualize o Cost Calculator Builder PRO para a versão 4.0.4 ou posterior. Como mitigação temporária, restrinja o acesso à função `js to php()` ou ao campo `orderDetails[*].originalValue` até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** Admin and Site Enhancements (ASE) Pro versões anteriores a 8.9.1 **Description** Atacantes não autenticados podem realizar a Execução Remota de Código no servidor através da função `recursive html()`. O problema ocorre porque o manipulador de salvamento do frontend exige apenas um nonce emitido publicamente e carece de verificações de autenticação. Além disso, a validação de CAPTCHA pode ser ignorada ao omitir uma chave fornecida pelo atacante. Chaves de linha repetidoras do parâmetro `cfgroup[input]` são armazenadas sem sanitização e posteriormente passadas para uma chamada `eval()`. A exploração requer que o shortcode `[post cf form]` esteja ativo em pelo menos uma página acessível publicamente, pois ele expõe o nonce e o ID de sessão necessários aos visitantes. **Recommendations** Atualize para uma versão posterior à 8.9.0. Como medida de mitigação temporária, remova o shortcode `[post cf form]` de todas as páginas acessíveis publicamente para evitar o acesso não autenticado ao manipulador de salvamento.