Quốc Huy

O plugin falha ao verificar adequadamente se um usuário está autorizado a realizar ações específicas. Essa falta de autorização permite que atacantes autenticados com nível de acesso de Colaborador (Contributor) ou superior leiam todos os dados de envio do Contact Form 7 utilizando o shortcode `acf7db`.

Existe uma Autorização Incorreta devido a um erro de precedência de operador na guarda de tipo de postagem dentro das funções `trash table bulk()` e `restore table bulk()`, o que impede a execução da guarda. Isso é combinado com um callback de permissão que verifica a associação ao cargo do plugin, mas falha em realizar verificações de propriedade ou por tipo de postagem. Consequentemente, usuários autenticados com nível de acesso de assinante ou superior podem mover para a lixeira ou restaurar qualquer postagem, página ou tipo de postagem personalizada no site ao fornecer IDs de postagem arbitrários através do parâmetro `ids`.

Existe uma falha de bypass de autorização devido ao callback de permissão `duplicate post permissions()` verificar apenas a capacidade `duplicate posts`, sem checar se o usuário solicitante possui a capacidade `publish posts` ou outras capacidades restritas por status. Isso permite que usuários autenticados com nível de acesso Colaborador (Contributor) ou superior criem duplicatas de postagens com status `future` (agendado para publicação automática) ou `private` (privado), ignorando a revisão editorial. Além disso, o endpoint REST não aplica as restrições de duplicação de tipos de postagem configuradas pelo administrador, permitindo a duplicação de tipos de postagem que foram explicitamente desativados.

A sanitização de entrada e a codificação de saída insuficientes permitem que atacantes autenticados com nível de acesso de contribuidor ou superior realizem Stored Cross-Site Scripting (XSS). Isso ocorre por meio de atributos de shortcode, permitindo a injeção de scripts web arbitrários em páginas. Esses scripts são executados sempre que um usuário acessa a página afetada. O problema pode ser acionado mesmo antes de uma postagem ser publicada, pois a carga útil é executada quando um administrador visualiza uma postagem enviada para revisão pendente.

Ocorre Cross-Site Scripting (XSS) de DOM Armazenado devido à sanitização insuficiente do valor do atributo `href` dentro do callback JavaScript beforeLoad do FancyBox V2 PDF gerado no arquivo `inc/fancybox-2.php`. A variável `this.href` é concatenada diretamente em uma string HTML sem escape, permitindo que um `href` armazenado contendo aspas duplas codificadas em entidades quebre o atributo de dados e injete manipuladores de eventos arbitrários no Document Object Model (DOM). Atacantes autenticados com nível de acesso de contribuidor ou superior podem usar isso para injetar scripts web arbitrários em páginas que são executados sempre que um usuário clica em um link de PDF malicioso.

A sanitização insuficiente de entrada na função `blocksy sanitize post meta options()` permite que atacantes autenticados com nível de acesso de contribuidor ou superior armazenem strings de objetos PHP serializados em metadados de postagens. A função bloqueia apenas valores que contenham '<' ou '>', falhando em prevenir a injeção de objetos serializados. Quando a migração de banco de dados V200 é executada, a função `SearchReplacer::run recursively()` desserializa incondicionalmente todos os valores de string usando `@unserialize()` sem restringir as classes permitidas. Esse processo pode acionar a função `RaiiPattern:: destruct()` de um objeto `BlocksyRaiiPattern` injetado, resultando em execução remota de código ao executar callables PHP arbitrários via `call user func()`. Este problema é acessível através do campo da API REST 'blocksy meta'.

O plugin está suscetível ao envio não autorizado de e-mails porque a função `send test email()` carece de uma verificação de capacidade adequada. Isso permite que usuários autenticados com permissões de nível Assinante (Subscriber) ou superior enviem e-mails de teste para qualquer endereço arbitrário a partir do servidor.

Name of the Vulnerable Software and Affected Versions Plugin Optimole – Optimize Images para WordPress versões até 4.2.2 Description O plugin Optimole – Optimize Images para WordPress é suscetível a Cross-Site Scripting Persistente. Isso é causado por sanitização e escape de saída inadequados do parâmetro `s` (descritor srcset) dentro do endpoint REST /wp-json/optimole/v1/optimizations não autenticado. O endpoint emprega validação de assinatura HMAC e timestamp, mas esses valores são expostos no HTML do frontend. O plugin utiliza sanitize text field() que remove tags HTML, mas não escapa aspas duplas, e o descritor envenenado é armazenado em transients e injetado no atributo srcset sem escape adequado. Recommendations Atualize para uma versão superior a 4.2.2

Nome do Software Vulnerável e Versões Afetadas Plugin Database for Contact Form 7, WPforms, Elementor forms para WordPress versões até 1.4.9, inclusive Descrição O plugin Database for Contact Form 7, WPforms, Elementor forms para WordPress é vulnerável a acesso não autorizado de dados devido a uma verificação de capacidade ausente na função `entries shortcode()`. Atacantes autenticados, com acesso de nível Colaborador e superior, podem extrair todos os envios de formulário, incluindo nomes, endereços de e-mail e números de telefone. Recomendações Versões anteriores a 1.5.0 devem ser atualizadas.

The Download Manager plugin for WordPress is susceptible to unauthorized data access. A missing capability check on the `reviewUserStatus()` function allows authenticated attackers with Subscriber-level access or higher to retrieve sensitive user information. This information includes email addresses, display names, and registration dates.

The Royal Addons for Elementor plugin for WordPress is susceptible to Information Exposure due to insufficient restrictions on post inclusion within the `get main query args()` function. This allows unauthenticated attackers to extract contents from non-public custom post types, including Contact Form 7 submissions and WooCommerce coupons.

The GetGenie plugin for WordPress is susceptible to an Insecure Direct Object Reference issue due to missing validation on a user-controlled key within the `action` function. This allows authenticated attackers with Author-level access or higher to modify post metadata for any post. The lack of input sanitization, combined with this issue, can lead to Stored Cross-Site Scripting when a user with higher privileges, such as an Administrator, views the "Competitor" tab in the GetGenie sidebar of an affected post. The vulnerable parameter is a user-controlled key used in the `action` function.

The WP ULike plugin for WordPress is susceptible to Stored Cross-Site Scripting through the `[wp ulike likers box]` shortcode `template` attribute. This occurs because `html entity decode()` is used on shortcode attributes without proper output sanitization, bypassing WordPress’s `wp kses post()` content filtering. Authenticated attackers with Contributor-level access or higher can inject malicious web scripts into pages. These scripts will execute when a user accesses the affected page, but only if the post has at least one like. The vulnerable parameter is `template`.

O plugin Greenshift para WordPress está suscetível à exposição de informações sensíveis. Isso ocorre porque o Backup de Configurações automatizado é armazenado em um arquivo publicamente acessível, permitindo que atacantes não autenticados extraiam dados. Os dados comprometidos incluem chaves de API para OpenAI, Claude, Google Maps, Gemini, DeepSeek e Cloudflare Turnstile.

O WP-Members Membership Plugin para WordPress é suscetível a injeção SQL por meio do atributo `order by` do shortcode [wpmem user membership posts]. Isso é causado pelo escapamento inadequado de parâmetros fornecidos pelo usuário e pela preparação insuficiente da consulta SQL existente. Atacantes autenticados com acesso de nível Colaborador ou superior podem anexar consultas SQL adicionais às consultas existentes, possivelmente permitindo a extração de informações sensíveis do banco de dados.

O tema Blocksy para WordPress está suscetível a Cross-Site Scripting Armazenado (Stored XSS) através dos campos de metadados `blocksy meta`. A sanitização de entrada e o escape de saída insuficientes permitem que atacantes autenticados com acesso de nível de Contribuidor ou superior injetem scripts web arbitrários nas páginas. Esses scripts serão executados quando um usuário acessar a página injetada. O parâmetro vulnerável é `blocksy meta`.

O plugin WP Mail Logging para WordPress está suscetível a Injeção de Objetos PHP nas versões até a 1.15.0 inclusive. Isso ocorre devido à desserialização de entrada não confiável do campo de mensagem do log de e-mail. O construtor da classe `BaseModel` usa `maybe unserialize()` em propriedades do banco de dados sem validação adequada, permitindo que atacantes injetem um Objeto PHP através de um payload duplamente serializado. Este payload pode ser enviado através de qualquer formulário acessível ao público que envie e-mail, como o Contact Form 7. Quando um administrador visualiza o e-mail registrado, o payload malicioso é desserializado. O impacto deste problema é limitado, a menos que outro plugin ou tema contendo uma cadeia de Payload de Objetos PHP (POP) esteja instalado, o que poderia permitir ações como exclusão de arquivos, recuperação de dados ou execução de código.

O software está suscetível a uma vulnerabilidade de Referência Direta a Objeto Inseguro (IDOR). O endpoint da API `/wp-json/wp-recipe-maker/v1/integrations/instacart` possui uma verificação de permissão configurada para sempre retornar verdadeiro e carece de verificações de autorização no parâmetro `recipeId` fornecido pelo usuário. Isso permite que atacantes não autenticados modifiquem metadados de postagem arbitrários (`wprm instacart combinations`) utilizando o parâmetro `recipeId`.

O plugin WP Accessibility para WordPress é vulnerável a Cross-Site Scripting (XSS) DOM Based Persistente através do atributo 'alt' de imagens processadas pelo recurso "Long Description UI". O problema ocorre porque o JavaScript do plugin obtém o atributo alt usando `getAttribute()` e o concatena em chamadas `innerHTML` e `insertAdjacentHTML` sem sanitização ou escape adequados. Isso permite que atacantes autenticados com acesso de nível de Contribuidor ou superior injetem scripts web arbitrários nas páginas. A exploração requer que a configuração "Long Description UI" esteja ativada e definida como "Link to description."**Recomendações** Atualize o plugin WP Accessibility para a versão 2.3.2 ou superior.

O software contém uma falha devido à verificação insuficiente da autenticidade dos dados. O plugin descriptografa e confia em `email data` controlados pelo invasor em um manipulador AJAX não autenticado, sem garantias criptográficas de autenticidade. Isso permite que invasores manipulem os valores de roteamento e redirecionamento de e-mails do formulário, potencialmente acionando retransmissão e redirecionamento não autorizados de e-mails por meio do parâmetro `email data`. O componente afetado é um manipulador AJAX.