Paul Serban

Um problema de falta de autorização existe na Abilities API dentro do arquivo `main/abilitiesregister.php`. Esta falha permite que atacantes com permissões de nível de colaborador ignorem as restrições pretendidas, pois a API exige apenas a capacidade `edit posts`. Consequentemente, um atacante pode criar, ler, atualizar ou excluir posts e páginas privadas pertencentes a outros usuários, bem como modificar templates de temas de todo o site, incluindo cabeçalhos e rodapés.

Uma falha de autorização existe no endpoint REST de conversão de galeria. O endpoint verifica se um usuário pode editar a postagem de origem, mas não verifica se ele possui as permissões necessárias para publicar uma galeria, ao mesmo tempo em que utiliza um status de publicação fixo (hard-coded). Isso permite que usuários autenticados com baixos privilégios, como aqueles com funções de Colaborador, criem e publiquem galerias. Além disso, invasores podem fornecer IDs de imagem arbitrários sem verificação de propriedade para publicar conteúdo não autorizado usando anexos que não têm permissão para usar. Mais de 100.000 instalações estão potencialmente afetadas.

Um problema de cross-site scripting armazenado permite que usuários autenticados com privilégios de nível de Autor ou superior injetem elementos HTML arbitrários. Isso ocorre porque a função `ditty layout render tag wrapper()` insere valores de atributos de wrapper diretamente como nomes de elementos HTML sem validação de lista de permissões. Esse processo ignora a sanitização `wp kses post()`, pois a sanitização ocorre durante o salvamento, antes que os atributos da tag de layout sejam resolvidos durante a renderização. Consequentemente, a carga útil injetada é executada no navegador de qualquer visitante que visualize postagens ou páginas que incorporem o item Ditty afetado.

O componente Log Viewer contém uma falha de injeção de comando de SO. Atacantes autenticados podem executar comandos arbitrários ao enviar entradas não sanitizadas através do parâmetro `filter`, que é interpolado diretamente em um comando de shell no arquivo File.php. Ao utilizar payloads de substituição de comando no parâmetro `filter`, os atacantes podem executar comandos como o usuário webconfig e, subsequentemente, escalar privilégios para root devido às permissões sudo NOPASSWD concedidas por padrão a esse usuário.