Ryan Fabella

The Mine CloudVod WordPress plugin before 2.6.6 does not verify that an order belongs to the requesting user before returning its payment status, allowing any authenticated user, such as subscriber, to read other customers' order status, the purchased item and, while an Alipay payment is in progress, the buyer's Alipay account identifier.

The AskAny WordPress plugin before 2.2.1 does not verify that a chat session belongs to the requester before returning or changing it, allowing unauthenticated users who obtain or guess another visitor's session identifier to read that visitor's chat transcript, name, email address and IP address, and to add messages to their conversation or overwrite their details.

Usuários não autenticados podem fazer upload de arquivos PHP e executar código arbitrário no servidor do site quando os anexos de visitantes estão habilitados. Isso ocorre porque o plugin não valida a extensão ou o conteúdo de arquivos anexados a mensagens de chat, confiando apenas no tipo de arquivo fornecido pelo navegador.

O plugin não impõe o limite de tentativa de SMS no lado do servidor. Isso permite que usuários não autenticados enviem um número ilimitado de mensagens de SMS de verificação para números de telefone escolhidos por um invasor, o que pode levar ao esgotamento dos créditos de SMS pagos do proprietário do site e ao spam de terceiros.

A restrição insuficiente em ações de criação de usuário permite que usuários autenticados com nível de acesso Assinante ou superior criem uma nova conta de administrador ou concedam a si mesmos capacidades não autorizadas, resultando em escalonamento de privilégios.

Existe uma Referência Direta Insegura a Objetos (IDOR) onde o plugin não verifica se o solicitante é o proprietário de um pedido de convidado antes de retornar seus detalhes. Isso permite que visitantes não autenticados que possuam o identificador de um pedido de convidado visualizem o status do pedido, o status do pagamento e o valor total. O problema decorre da falta de validação em uma chave controlada pelo usuário.

Ocorre uma Referência Direta a Objeto Insegura (IDOR) porque o plugin não verifica a propriedade ou a vinculação da sessão ao carregar um carrinho de compras salvo anteriormente. Um usuário não autenticado pode carregar o conteúdo do carrinho de outro comprador — incluindo produtos selecionados, quantidades e dados de campos personalizados — ao obter o identificador do carrinho salvo. Isso é causado pela falta de validação em uma chave controlada pelo usuário.

Existe uma condição de corrida (Race Condition) devido a uma operação de leitura-modificação-escrita não atômica no saldo do cartão-presente. Isso ocorre quando um cartão-presente é resgatado no checkout, pois o sistema não bloqueia nem atualiza o saldo de forma atômica. Um invasor não autenticado que possua um código de cartão-presente válido com saldo positivo pode gastar mais do que o valor financiado ao enviar múltiplas solicitações de checkout simultâneas para ignorar a verificação de saldo antes que ele seja decrementado.

A sanitização insuficiente de entrada e a falta de escape de saída permitem que usuários autenticados, como aqueles com nível de acesso de assinante, injetem scripts web arbitrários. Isso ocorre porque o software não verifica uma capacidade ou um nonce antes de criar uma função do WordPress a partir de um nome fornecido na requisição. Os scripts injetados são executados quando um administrador acessa telas padrão de gerenciamento de usuários ou outras páginas afetadas. Stored Cross-Site Scripting (XSS) é uma falha onde scripts maliciosos são armazenados permanentemente no servidor alvo.

Visitantes não autenticados podem sobrescrever o preço armazenado dos itens em seu carrinho de compras, permitindo a criação de pedidos de qualquer produto por um valor total arbitrário. Isso ocorre devido à ausência de uma verificação de capacidade em uma função, o que permite que usuários não autorizados realizem ações restritas.

Existe um problema onde o plugin não verifica se o solicitante tem as permissões necessárias para gerenciar um formulário antes de exportar sua configuração. Isso permite que usuários não autenticados baixem as configurações armazenadas de qualquer formulário, que podem incluir dados sensíveis, como endereços de e-mail de destinatários de notificação e chaves secretas do reCAPTCHA que não são visíveis no formulário público.

O plugin falha ao realizar uma verificação de autorização antes de renderizar postagens por meio do recurso de impressão de receitas. Isso permite que usuários não autenticados divulguem o título, ID e conteúdo de receitas de postagens não publicadas, incluindo rascunhos, pendentes, privadas e protegidas por senha que contenham um bloco de cartão de receita. A proteção opcional de imprimir apenas postagens publicadas é ineficaz porque a verificação de status é aplicada a uma postagem diferente daquela renderizada.

Existe um problema onde o software não valida adequadamente um parâmetro antes de utilizá-lo como um identificador de coluna em uma consulta SQL. Isso permite que atacantes não autenticados realizem ataques de injeção de SQL, uma técnica onde instruções SQL maliciosas são inseridas em campos de entrada para execução. O parâmetro vulnerável é `datacolumn`.

Existe um problema onde o plugin não verifica o status de pagamento de uma reserva com o provedor de pagamento antes de marcar a transação como paga e confirmada. Isso permite que invasores não autenticados marquem reservas como pagas sem concluir o processo de pagamento real.

Existe um problema onde o software não valida a origem das solicitações de redefinição de senha. Isso permite que um invasor não autenticado intercepte um usuário que esteja no processo de redefinir sua senha e a defina para um valor escolhido pelo invasor por meio de uma solicitação forjada, resultando no controle total da conta.

A falta de verificações de autorização ao fornecer downloads de etiquetas de envio permite que usuários não autenticados obtenham etiquetas de envio de pedidos arbitrários. Essas etiquetas contêm informações confidenciais dos clientes, incluindo nomes, endereços e números de telefone.

O plugin não realiza verificações de autorização antes de criar cupons do WooCommerce. Isso permite que atacantes não autenticados criem cupons arbitrários, como aqueles que oferecem 100% de desconto ou frete grátis.

O plugin não restringe adequadamente o acesso aos downloads protegidos de produtos do WooCommerce. Isso permite que usuários não autenticados ignorem os requisitos de pagamento e recuperem arquivos baixáveis pagos de qualquer produto.

O plugin não verifica se a resposta do provedor de pagamento confirma uma transação concluída e aprovada antes de atualizar o status de um pedido do WooCommerce para pago. Isso permite que invasores não autenticados marquem pedidos arbitrários como pagos sem realmente concluir o processo de pagamento.

Restrições de acesso insuficientes aos dados de análise permitem que invasores não autenticados recuperem o log de crawl-analytics armazenado. Isso ocorre porque o plugin trata um valor de credencial incluído em seu código-fonte público como uma chave de API válida. Os dados expostos incluem o endereço IP, o user agent e o referer de cada visitante registrado.