Pedro Pinho

The Crop Thumbnails WordPress plugin before 1.10.0 does not perform object-level authorization when reading and re-cropping media attachments, allowing any authenticated user with the upload capability (the Author role by default) to read the metadata of, and overwrite the generated thumbnail files and stored metadata of, media attachments belonging to other users.

The Thanh Toán Quét Mã QR Code Tự Động WordPress plugin through 2.0.1 does not properly verify the authenticity of incoming bank-transfer payment notifications on a default installation, allowing unauthenticated attackers to mark arbitrary WooCommerce orders as paid.

Existe um problema onde o plugin não restringe quem pode disparar e-mails de código de verificação de reserva e não vincula o destinatário ao estado do servidor. Isso é causado por uma verificação de capacidade ausente em uma função, permitindo que usuários não autenticados forcem o site a enviar e-mails de código de verificação parametrizados para destinatários arbitrários.

O plugin não autentica adequadamente as notificações de pagamento por transferência bancária, pois o token de verificação permanece vazio em uma instalação padrão. Isso permite que invasores não autenticados forjem notificações e marquem qualquer pedido pendente do WooCommerce como pago, independentemente do método de pagamento. O problema decorre de uma verificação de capacidade ausente em uma função utilizada para processar essas atualizações.

Existe um problema de integridade de memória devido ao manuseio inadequado de páginas copy-on-write, que é um mecanismo onde um recurso é compartilhado entre vários chamadores até que um tente modificá-lo, momento em que uma cópia privada é criada. Esta falha permite que um aplicativo cause alterações inesperadas na memória copy-on-write.

Existe um problema onde o plugin não verifica se as notificações de pagamento originam-se do provedor de pagamento legítimo antes de marcar um pedido como pago. Isso permite que invasores não autenticados marquem pedidos arbitrários como pagos sem realizar qualquer pagamento real.

O plugin não verifica se um pagamento foi concluído com sucesso antes de registrar um pedido como pago. Isso permite que usuários não autenticados marquem qualquer pedido não pago como pago e alterem o valor total do pedido.

Uma ação AJAX não autenticada não sanitiza nem escapa adequadamente a entrada do usuário antes de refleti-la dentro de um atributo HTML. Isso leva a um problema de Reflected Cross-Site Scripting (XSS), onde um script malicioso é refletido de volta para o usuário, podendo afetar qualquer visitante, incluindo administradores conectados. O problema envolve especificamente o atributo `data-shortcode`.

Restrições de acesso insuficientes para orçamentos enviados por convidados permitem que usuários não autenticados recuperem informações sensíveis de outros convidados. Ao fornecer um identificador enumerável, um invasor pode acessar o nome do comprador, endereço de e-mail e itens solicitados.

O plugin não valida um valor de ordenação fornecido pelo usuário em relação a uma lista de permissões antes de utilizá-lo em uma consulta ao banco de dados. Como a tela de lista administrativa afetada requer apenas capacidades de privilégios inferiores em vez de direitos de administrador, usuários com acesso de nível de editor ou superior podem realizar injeção de SQL e ler informações arbitrárias do banco de dados. Em ambientes multisite, um editor de sub-site pode ler a tabela de usuários global da rede, incluindo o hash de senha do super administrador.

Existe um problema onde as tentativas de verificação de senha de uso único não são adequadamente limitadas. O limite de tentativas é rastreado em relação a um valor fornecido pelo cliente que pode ser alterado livremente. Isso permite que um invasor não autenticado ignore o limite e realize ataques de força bruta no código de login numérico curto para assumir o controle de uma conta sem a senha.

O plugin não restringe o acesso ao segredo usado para autenticar seu webhook de gateway de pagamento, permitindo que usuários não autenticados o obtenham. Essa divulgação torna a verificação de assinatura do webhook ineficaz, permitindo que invasores não autenticados forjem notificações de confirmação de pagamento. Consequentemente, invasores podem registrar doações arbitrárias como concluídas, especificando valores, nomes de doadores e mensagens de sua escolha.

Existe um problema onde o plugin não verifica a propriedade do pedido antes de retornar os detalhes de faturamento. Isso permite que invasores não autenticados obtenham o nome, endereço de e-mail, número de telefone, endereço postal e histórico de pedidos de um cliente ao fornecer o endereço de e-mail do mesmo.

Existe um problema onde o plugin não verifica se as notificações de pagamento recebidas são autênticas quando nenhum segredo de webhook está configurado. Essa falta de verificação de pagamento no lado do servidor permite que invasores não autenticados forjem notificações e marquem pedidos como pagos sem realizar o pagamento real.

O plugin não verifica se uma solicitação de confirmação de pagamento está legitimamente associada ao pedido e ao cliente que pretende confirmar. Isso permite que invasores não autenticados marquem qualquer pedido arbitrário como pago sem realizar a transação real.

O plugin cria uma conta de POS privilegiada após a ativação que utiliza um PIN fixo e publicamente conhecido. O sistema não exige que este PIN seja alterado antes do uso e autentica o endpoint de login público do POS baseando-se apenas nesse PIN, sem realizar verificações de identidade ou capacidade. Isso permite que atacantes não autenticados obtenham uma sessão de POS privilegiada para ler dados pessoais de clientes e usuários do site, bem como modificar dados da loja.

Existe um problema onde o plugin falha ao realizar verificações de autorização ou de visibilidade de postagens em uma rota de API REST. Isso permite que usuários não autenticados divulguem os nomes das chaves de campos personalizados de postagens arbitrárias, incluindo aquelas que são privadas, rascunhos, pendentes, agendadas ou protegidas por senha.

O plugin não verifica a autenticidade das notificações de pagamento com o provedor de pagamento antes de marcar um pedido como pago. Isso permite que usuários não autenticados marquem pedidos pendentes como pagos sem concluir efetivamente o processo de pagamento.

O plugin UpsellWP para WordPress não verifica se os produtos adicionados ao carrinho por meio de uma campanha Frequently Bought Together pertencem a essa campanha específica. Isso permite que usuários não autenticados manipulem os preços e comprem produtos arbitrários pelo valor com desconto associado à campanha.

Existe uma falha de bypass de autorização que permite que atacantes não autenticados acessem listagens de carros não publicadas, incluindo aquelas em status de rascunho, pendentes e privadas. Ao fornecer o `user id` numérico de um alvo, um atacante pode recuperar informações sensíveis, como títulos, preços, URLs de mídia e notas do vendedor.