Pnn219

Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in WP Inventory WP Inventory Manager wp-inventory-manager allows Reflected XSS.This issue affects WP Inventory Manager: from n/a through 2.5.9.

Existe um problema de falsificação de solicitação cross-site onde os endpoints '/admin/product/combinations/update' e '/admin/product/default-price/update' aceitam requisições GET sem verificar tokens anti-CSRF. Isso permite que um invasor engane um administrador autenticado para clicar em um link malicioso a fim de modificar detalhes de combinações de produtos, incluindo preços, estoque, peso, EAN e sinalizadores de venda, potencialmente zerando preços omitidos.

Um problema de cross-site scripting armazenado existe onde administradores do back-office autenticados com permissões de atualização de loja podem injetar scripts. Isso ocorre ao fazer o upload de imagens SVG não sanitizadas através das variáveis `logo file` ou `banner file`. Os scripts maliciosos, usando um payload onload, são servidos pelo endpoint '/admin/store-media/logo' ou pelo diretório 'public cache/images/store/', permitindo a execução contra visitantes e administradores com privilégios mais elevados.

Um problema de cross-site scripting armazenado existe na função `getSummary()` da classe `ForSomeCustomers`. Atacantes não autenticados podem injetar scripts maliciosos por meio de nomes de clientes não escapados. Ao se registrarem com um payload de script como nome, o script é executado quando administradores visualizam cupons relacionados, permitindo potencialmente o roubo de tokens CSRF (Cross-Site Request Forgery)—uma técnica usada para personificar um usuário—para criar contas de administrador não autorizadas.

Um problema de falsificação de solicitação cross-site (CSRF) existe no back office, onde tokens CSRF por sessão vazam através de strings de consulta de URL. Isso permite que atacantes forjem ações administrativas reutilizando tokens vazados ou visando as funções desprotegidas `setToggleVisibilityAction()` e `updatePositionAction()`. Consequentemente, administradores autenticados podem ser induzidos a excluir, ocultar ou reordenar objetos de configuração e de catálogo.

Um problema de falsificação de solicitação cross-site (CSRF) existe onde invasores remotos podem excluir tags de página, documentos e imagens. Isso ocorre porque as rotas de exclusão do back-office carecem de tokens CSRF—identificadores únicos usados para evitar solicitações não autorizadas—e verificações de permissão. Invasores podem enganar um administrador conectado para navegar por solicitações GET manipuladas que percorrem IDs sequenciais para remover imagens da TheliaLibrary, incluindo seus arquivos e variantes, em páginas, produtos e categorias.

Existe um problema de Cross Site Scripting (XSS) não autenticado, que permite a um invasor executar scripts maliciosos no navegador de um usuário sem a necessidade de autenticação prévia.

Um problema de consumo descontrolado de recursos existe no manipulador Automatic Persisted Query. Atacantes não autenticados podem persistir documentos de consulta ilimitados enviando consultas distintas que compartilham valores `queryId` SHA-256 idênticos, incluindo operações em lote. Esse processo faz com que a tabela `wp posts` cresça sem limites, resultando na degradação do desempenho do banco de dados.

Um problema de divulgação de informações permite que atacantes não autenticados determinem se objetos específicos existem através da análise de respostas de erro distintas. Ao iterar IDs nas mutações `deleteMediaItem`, `updateMediaItem`, `deleteComment` e `updateComment`, atacantes podem descobrir rascunhos ocultos, postagens privadas ou excluídas, tipos de postagens personalizadas e comentários não aprovados.

Existe um problema onde a ausência de limitação de taxa permite que atacantes não autenticados inundem o sistema com e-mails de redefinição de senha. Isso é feito através do aliasing da mutação `sendPasswordResetEmail`, permitindo que um atacante envie uma única requisição HTTP contendo múltiplos aliases. Esta técnica ignora o `batch limit`, o que pode esgotar a cota do provedor de e-mail e causar a rotação repetida de chaves de redefinição, bloqueando efetivamente os processos legítimos de recuperação de senha.

Uma falha de autorização existe na mutação `createComment`. Isso permite que usuários não autenticados ignorem as verificações de status de postagem e adicionem comentários a postagens não públicas, incluindo aquelas que estão como rascunho, privadas, na lixeira ou protegidas por senha. Isso pode levar à enumeração de IDs de postagem, ao vazamento de títulos ocultos por meio de notificações de moderadores e à capacidade de retroceder a data de comentários ou marcá-los como pingbacks.

Ocorre cross-site scripting armazenado devido à sanitização de entrada e escape de saída insuficientes. Usuários autenticados com nível de acesso de Colaborador ou superior podem injetar scripts web arbitrários através do atributo `base-url` dos shortcodes `[mpg]` e `[mpg match]`. Atacantes podem usar payloads codificados em entidades que ignoram o kses (uma função do WordPress usada para sanitizar HTML), mas que são posteriormente decodificados por `html entity decode()` e renderizados sem escape através de `{{mpg url}}`, resultando na execução de scripts nos navegadores de administradores.

Uma falha de autorização no manipulador AJAX `update fees` permite que atacantes não autenticados leiam e modifiquem pedidos de outros clientes. Ao reutilizar um nonce de sua própria página de pagamento e fornecer valores sequenciais de `order id`, os atacantes podem alterar métodos de pagamento, recalcular taxas e expor itens e totais dos pedidos.