Rafie Muhammad

A sanitização de entrada e a escape de saída insuficientes permitem que invasores não autenticados realizem Stored Cross-Site Scripting (XSS). Isso ocorre porque o kses de comentários do WordPress não remove delimitadores de tags codificados como entidades, permitindo que payloads ignorem a moderação como texto seguro. Esses payloads são posteriormente decodificados em HTML ativo por funções de notificação de e-mail do núcleo e gravados diretamente na tabela de banco de dados de log de e-mail do plugin, executando scripts web arbitrários quando um usuário acessa a página afetada.

Ocorre Cross-Site Scripting (XSS) armazenado não autenticado quando o plugin falha ao sanitizar o parâmetro `page title` na ação AJAX `ahcpro track visitor`. Esta ação está acessível a usuários não logados via `wp ajax nopriv ahcpro track visitor`, permitindo que a entrada bruta seja armazenada no banco de dados. Quando um administrador acessa o painel do plugin, a DataTable 'Traffic by Title' renderiza esse valor armazenado como innerHTML sem a devida filtragem de saída, permitindo a execução de JavaScript arbitrário na sessão do administrador.

A sanitização insuficiente de entrada e a falta de escape de saída permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente no servidor alvo. O problema ocorre através do parâmetro `friendlyTime` no endpoint `jet engine form booking submit`. O payload injetado é armazenado na tabela `wp jet appointments meta` e é executado no navegador do administrador quando o popup de detalhes do agendamento é aberto no painel administrativo do WordPress.

Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Kreatura LayerSlider allows Reflected XSS. This issue affects LayerSlider: from n/a through 8.4.0.

O plugin é suscetível à desserialização de dados não confiáveis através do parâmetro `style` da ação AJAX `cp display preview modal`. O problema ocorre porque a guarda de nonce é ignorada quando o parâmetro `cp admin page nonce` é omitido e nenhuma verificação de capacidade é realizada no callback. Além disso, a função `sanitize text field()` não remove delimitadores de shortcode do valor `$style` antes de ser processado por `do shortcode()`. Isso permite que atacantes autenticados com nível de acesso Assinante ou superior injetem uma invocação `[smile modal]`, levando a função `smile modal popup()` a passar bytes decodificados em base64 para `maybe unserialize()` sem restrições de `allowed classes`. Isso possibilita a injeção de objetos PHP. Embora não haja uma POP chain (uma sequência de gadgets usada para executar código arbitrário durante a desserialização) presente no próprio software, a presença de uma POP chain em outro plugin ou tema instalado poderia permitir que atacantes excluam arquivos arbitrários, recuperem dados sensíveis ou executem código.

Existe um problema onde invasores não autenticados podem realizar Injeção de SQL ao anexar consultas adicionais a consultas existentes para extrair informações sensíveis do banco de dados. Isso ocorre porque o parâmetro `store locatore search radius` não é suficientemente escapado ou preparado antes de ser usado em uma consulta SQL. A falha está localizada em um contexto SQL numérico e não cotado, o que ignora a proteção `wp magic quotes()`. Além disso, o manipulador AJAX `wp ajax nopriv make search request` carece de verificações de nonce ou de capacidade, permitindo que o endpoint seja acessado sem autenticação.

Um problema de cross-site scripting (XSS) armazenado não autenticado, apelidado de Comment2Shell, existe no núcleo do WordPress. A falha ocorre na função `wpautop()`, que converte quebras de linha em parágrafos. Um invasor pode enviar um comentário manipulado contendo uma quebra de linha dentro do atributo `cite` de uma tag `blockquote`. Embora essa entrada passe pelo filtro `wp kses()`, uma etapa de reformatação subsequente durante a exibição da página utiliza uma expressão regular incorreta que insere uma tag de parágrafo dentro da citação, transformando o texto em um manipulador de evento `onfocus` ativo, disparado por um script `autofocus`. Este XSS é executado automaticamente ao carregar a página, sem a necessidade de interação do usuário. Se um administrador autenticado visualizar a página afetada, o script pode abusar da sessão do administrador para ler um nonce de instalador de plugin e fazer o upload de um plugin PHP malicioso, resultando na execução remota de código (RCE) no servidor. Atualmente, não há evidências de exploração no mundo real.

Existe uma falha de bypass de autenticação no plugin MyHome Core para WordPress. O problema decorre da falta de autorização no manipulador AJAX `send link()` e da validação inadequada de tokens na função `activate()`. Essas falhas permitem que um invasor não autenticado gere um token de ativação para uma conta de usuário não confirmada e obtenha um cookie de autenticação válido, potencialmente concedendo acesso administrativo. A exploração é possível quando o tema MyHome está configurado no modo legacy/WPBakery com o registro frontal e e-mails de confirmação ativados, desde que a conta alvo não possua o meta dado de usuário `myhome agent confirmed` definido.

Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes em atributos fornecidos pelo usuário, combinados com a ausência de verificações de autorização na função `settings()`. Atacantes autenticados com nível de acesso de Assinante ou superior podem injetar scripts web arbitrários através do parâmetro `ai1wm backups path`. Esses scripts são executados sempre que um administrador acessa a página de configurações do plugin.

Existe uma falha de bypass de autenticação devido à ausência de validação de OTP do Firebase no lado do servidor dentro da função `process otp login()`. Isso permite que atacantes não autenticados se autentiquem como qualquer usuário registrado na tabela de telefones do plugin, enviando um código OTP e um `UID` arbitrários através do fluxo de login OTP do Firebase. A exploração é possível se o login por OTP estiver habilitado com o Firebase selecionado como gateway de verificação e o atacante souber ou adivinhar o número de telefone registrado da conta alvo. Isso pode levar ao controle de contas de administrador caso estas possuam um número de telefone registrado.

Existe um problema que permite que atacantes não autenticados realizem Directory Traversal, um método usado para acessar arquivos e diretórios armazenados fora da pasta raiz da web. Ao manipular o parâmetro `frm graph`, um atacante pode ler arquivos arbitrários no servidor, expondo potencialmente informações sensíveis. Isso requer que o Formidable Forms Lite, Formidable Forms Pro e Formidable Charts estejam ativos, e que o diretório `wp-content/uploads/frm-charts/` exista, o que normalmente ocorre após a renderização de um gráfico em formato de imagem.

A validação insuficiente do caminho do arquivo na função `delete file()` permite que atacantes não autenticados excluam arquivos no servidor. Isso ocorre durante o fluxo POST padrão de criação de entrada em formulários que aceitam envios anônimos, ao fornecer um nome de arquivo controlado no parâmetro `item meta[field id][content]` e a flag `delete saved image`.

Existe uma falha de bypass de autenticação no manipulador de login da Apple. O problema ocorre porque o plugin aceita o `id token` da Apple e decodifica apenas sua carga útil (payload) base64 sem verificar a assinatura do JSON Web Token (JWT) contra as chaves públicas da Apple ou validar as reivindicações de emissor, audiência ou expiração. Adicionalmente, o nonce de segurança necessário para iniciar o fluxo de login é exposto publicamente a usuários não autenticados via um objeto JavaScript localizado na página de login. Isso permite que atacantes não autenticados obtenham acesso a qualquer conta existente do WordPress, incluindo contas de administrador, fornecendo um `id token` forjado contendo o endereço de e-mail do usuário alvo, que é então utilizado para emitir uma sessão autenticada sem exclusão de função.

O plugin WP Foodbakery para WordPress contém uma falha que permite que usuários autenticados com nível de acesso de assinante ou superior excluam arquivos arbitrários no servidor. Isso ocorre devido à validação insuficiente do caminho do arquivo na função `delete locations backup file callback()`, especificamente ao processar a ação AJAX `delete locations backup file`. A exclusão de arquivos críticos, como o `wp-config.php`, pode levar à execução remota de código.

O plugin Eventer para WordPress contém uma falha de SQL Injection baseada em tempo. Isso ocorre porque o plugin não escapa adequadamente o parâmetro `code` e carece de preparação suficiente da consulta SQL. Atacantes não autenticados podem explorar isso anexando consultas SQL adicionais às já existentes, permitindo a extração de informações sensíveis do banco de dados.

O plugin implementa um mecanismo de redefinição de senha inseguro. Quando uma redefinição de senha é solicitada, uma cópia em texto simples da chave de redefinição é armazenada no campo de meta do usuário `eventer verification code` dentro da tabela `wp usermeta`. Um invasor que obtenha essa chave em texto simples pode usar a ação de redefinição personalizada do plugin para alterar a senha de qualquer conta de usuário, incluindo aquelas com privilégios de administrador. Este problema é particularmente crítico quando combinado com outras falhas que permitem a extração de dados do banco de dados. A função de redefinição de senha só é operacional em versões do PHP até a 7.4.

O plugin Shopify para WordPress permite que atacantes autenticados com nível de acesso de contribuidor ou superior realizem Local File Inclusion (LFI), um processo no qual uma aplicação é enganada para incluir arquivos do sistema de arquivos local. Isso permite a inclusão e execução de arquivos arbitrários no servidor, possibilitando a execução de código PHP contido nesses arquivos. Essa falha pode ser utilizada para ignorar controles de acesso ou obter dados sensíveis, particularmente quando imagens ou outros tipos de arquivos seguros são carregados e posteriormente incluídos.

Existe um problema de controle de acesso quebrado não autenticado, permitindo que usuários não autorizados ignorem as restrições de acesso.

O plugin JetEngine para WordPress contém uma falha onde a escape insuficiente de parâmetros fornecidos pelo usuário e a falta de preparação adequada de consultas SQL permitem que atacantes não autenticados anexem consultas SQL adicionais. Isso pode ser usado para extrair informações sensíveis do banco de dados.

O plugin MasterStudy LMS Pro Plus para WordPress contém uma falha de SQL Injection genérica. Este problema ocorre porque o parâmetro `columns` não é devidamente escapado e a consulta SQL não é suficientemente preparada. Atacantes autenticados com nível de acesso de instrutor ou superior podem anexar consultas SQL adicionais a consultas existentes para extrair informações sensíveis do banco de dados.