Peter Thaleikis

A sanitização de entrada e a codificação de saída insuficientes na função `shortcode easywaveformplayer()` permitem que atacantes autenticados com nível de acesso de Colaborador ou superior realizem Stored Cross-Site Scripting. Isso possibilita a injeção de scripts web arbitrários em páginas, que são executados quando um usuário visita a página afetada.

A sanitização insuficiente de entrada e a falta de escape de saída resultam em Cross-Site Scripting (XSS) Baseado em DOM e Armazenado, uma condição onde scripts maliciosos são injetados em páginas web. Atacantes autenticados com nível de acesso de contribuidor ou superior podem injetar scripts web arbitrários que são executados sempre que um usuário acessa a página afetada.

A neutralização inadequada de entradas durante a geração de páginas web permite o Cross-Site Scripting (XSS) Armazenado, uma falha onde scripts maliciosos são armazenados permanentemente no servidor alvo e posteriormente executados no navegador de um usuário que visita a página afetada.

O plugin Site de Vídeo Chat Pago – Solução Pronta para Uso – HTML5 PPV Live Webcams para WordPress é suscetível a uma vulnerabilidade de elevação de privilégio. A função `videowhisper register form()` não restringe adequadamente os papéis de usuário durante o registro. Isso permite que atacantes autenticados com acesso de nível Autor ou superior criem posts ou páginas contendo um formulário de registro configurado para atribuir privilégios de administrador. Os atacantes podem então utilizar esse formulário para registrar uma nova conta de administrador, obtendo efetivamente controle administrativo. Embora colaboradores também possam tentar explorar essa vulnerabilidade, seu sucesso depende da aprovação do formulário por um administrador com o papel de administrador atribuído.

O tema Drift para WordPress é vulnerável a Cross-Site Scripting Armazenado através do título da postagem. Sanitização de entrada e escape de saída insuficientes permitem que atacantes autenticados com acesso de nível de Contribuidor ou superior injetem scripts web arbitrários nas páginas. Esses scripts serão executados quando um usuário acessar a página afetada.

O tema Renden para WordPress é vulnerável a Cross-Site Scripting Armazenado através do título da postagem. A sanitização de entrada e o escape de saída insuficientes permitem que atacantes autenticados com acesso de nível de Contribuidor ou superior injetem scripts web arbitrários nas páginas. Esses scripts serão executados quando um usuário acessar a página afetada.

O plugin Target Video Easy Publish para WordPress é suscetível a Stored Cross-Site Scripting. Isso ocorre devido à sanitização de entrada e escape de saída insuficientes relacionados ao parâmetro `placeholder img`. Atacantes autenticados com acesso de nível de Contribuidor ou superior podem injetar scripts web arbitrários em páginas. Esses scripts serão executados quando um usuário acessar a página afetada.

Nome do Software Vulnerável e Versões Afetadas Plugin SpiceForms Form Builder para WordPress versões anteriores a 1.1 Descrição O plugin SpiceForms Form Builder para WordPress é suscetível a Cross-Site Scripting Armazenado por meio do shortcode 'spiceforms'. Sanitização insuficiente de entradas e escape de saída em atributos fornecidos pelo usuário permitem que atacantes autenticados com nível de acesso de Colaborador ou superior injetem scripts web arbitrários em páginas. Esses scripts serão executados quando um usuário acessar a página afetada. Recomendações Atualize o plugin SpiceForms Form Builder para a versão 1.1 ou superior.

O software contém uma falha relacionada ao tratamento inadequado de dados fornecidos pelo usuário ao criar páginas web, podendo resultar em Cross-site Scripting (XSS). Essa falha permite ataques de XSS Armazenado (Stored XSS), nos quais scripts maliciosos são armazenados no servidor alvo e executados por outros usuários.

O software contém uma falha devido à neutralização inadequada de entrada durante a geração da página web, resultando em uma vulnerabilidade de Cross-site Scripting (XSS). Este caso específico permite XSS Armazenado, o que significa que scripts maliciosos são armazenados persistentemente no servidor alvo e executados no contexto dos navegadores de outros usuários.

O software contém uma falha relacionada ao tratamento inadequado de entrada durante a geração de páginas web, especificamente uma vulnerabilidade de Cross-Site Scripting baseado em DOM. Isso permite a possível execução de scripts maliciosos no contexto do navegador de um usuário. O problema está presente no componente Responsive Block Control.

O software contém uma falha devido à neutralização inadequada de entrada durante a geração da página web, o que permite Cross-site Scripting (XSS) Armazenado. Isso significa que scripts maliciosos podem ser armazenados no servidor e executados por outros usuários quando visualizam a página web afetada. A vulnerabilidade permite que um atacante injete código malicioso em páginas web visualizadas por outros usuários.

The Shuttlethemes Shuttle software contains a flaw related to improper input handling during web page generation, which allows for Stored Cross-site Scripting (XSS). This can potentially allow an attacker to inject malicious scripts into web pages viewed by other users. The affected component is susceptible to exploitation through crafted input.

O software contém uma falha devido ao tratamento inadequado de dados fornecidos pelo usuário ao criar páginas web, resultando em uma condição de Cross-site Scripting (XSS) Armazenado. Isso permite que um invasor injete scripts maliciosos em páginas web visualizadas por outros usuários. A vulnerabilidade afeta o tema Minamaze.

The software contains a flaw related to improper input handling during web page generation, leading to a DOM-Based Cross-Site Scripting (XSS) condition. This allows for the potential execution of malicious scripts within the context of a user's browser. The issue affects the application's handling of user-supplied data when constructing web pages. The vulnerability could be exploited through crafted input that is not properly sanitized before being included in the generated HTML. This could allow an attacker to inject malicious code, potentially leading to the compromise of user accounts or sensitive information.

O tema Kingcabs para WordPress está suscetível a Cross-Site Scripting Armazenado. Isso se deve à sanitização de entrada e escapamento de saída insuficientes relacionados ao parâmetro `progressbarLayout`. Atacantes autenticados com acesso de nível de Contribuidor ou superior podem injetar scripts web arbitrários nas páginas. Esses scripts serão executados quando um usuário acessar a página injetada.

Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes autenticados com nível de acesso Colaborador ou superior podem injetar scripts web arbitrários em páginas através do parâmetro de shortcode `id`. Esses scripts são executados sempre que um usuário acessa a página afetada.

The software is susceptible to Stored Cross-Site Scripting due to inadequate input sanitization and output escaping of user-supplied attributes. Specifically, the 'class name' parameter within the postlist shortcode is affected. This allows authenticated attackers with contributor-level access or higher to inject malicious web scripts into pages. These scripts will execute when a user accesses the compromised page through mouse interaction.

O plugin TR Timthumb para WordPress é vulnerável a Cross-Site Scripting Armazenado através de atributos de shortcode. Sanitização de entrada e escape de saída insuficientes permitem que atacantes autenticados com acesso de nível de Contribuidor ou superior injetem scripts web arbitrários nas páginas. Esses scripts serão executados quando um usuário acessar a página injetada.

O SurveyFunnel – Plugin de Pesquisa para WordPress está suscetível a Cross-Site Scripting Armazenado através do shortcode `surveyfunnel lite survey`. A sanitização insuficiente de entrada e o escape de saída de atributos fornecidos pelo usuário permitem que invasores autenticados com acesso de nível de colaborador ou superior injetem scripts web maliciosos nas páginas. Esses scripts serão executados quando um usuário acessar a página comprometida.