Scott Moore

The software contains a stored cross-site scripting issue in the handling of comment hypertext. This allows attackers to inject malicious scripts. Remote attackers can inject XSS payloads through comments to execute arbitrary JavaScript in victims' browsers.

wpDiscuz versions prior to 7.6.47 contain a missing rate limiting issue. Unauthenticated attackers can subscribe arbitrary email addresses to post notifications by sending POST requests to the `wpdAddSubscription` handler in the `class.WpdiscuzHelperAjax.php` file. Attackers can use LIKE wildcard characters in the subscription query to match multiple email addresses, resulting in unwanted notification emails being sent to victim accounts.

wpDiscuz contains a stored cross-site scripting issue in the inline comment preview functionality. Authenticated users can inject malicious scripts by submitting comments with unescaped content. Attackers with unfiltered html capabilities can inject JavaScript directly through comment content rendered in the AJAX response from the `getLastInlineComments()` function in class `WpdiscuzHelperAjax.php` due to a lack of proper HTML escaping.

wpDiscuz versions prior to 7.6.47 contain an SQL injection issue in the `getAllSubscriptions()` function. String parameters are not properly escaped in SQL queries, allowing attackers to inject malicious SQL code. The parameters susceptible to injection are `email`, `activation key`, `subscription date`, and `imported from`. Successful exploitation could allow attackers to manipulate database queries and extract sensitive information. It is estimated that over 100,000 WordPress sites running wpDiscuz are potentially affected.

The software contains a flaw that allows manipulation of comment votes. Attackers can obtain fresh nonces and bypass rate limiting by using client-controlled headers. Specifically, attackers can change `User-Agent` headers to reset rate limits, request nonces from the unauthenticated `/wpdGetNonce` API endpoint, and vote multiple times using techniques like IP rotation or reverse proxy header manipulation.

The software contains an IP spoofing issue within the `getIP()` function. This allows attackers to bypass IP-based rate limiting and ban enforcement mechanisms by leveraging untrusted HTTP headers. Specifically, attackers can manipulate the `HTTP CLIENT IP` or `HTTP X FORWARDED FOR` headers to spoof their IP address and circumvent security controls.

The software contains a cross-site request forgery issue that allows attackers to delete all comments associated with an email address. This is achieved by crafting a malicious GET request with a valid HMAC key. Attackers can embed the `deletecomments` action URL in image tags or other resources to trigger permanent deletion of comments without user confirmation or POST-based CSRF protection. The vulnerable API endpoint is `/deletecomments`. The `HMAC key` is used to validate the request.

The software contains an information disclosure issue that can lead to the exposure of OAuth secrets. Administrators may unintentionally reveal OAuth secrets when exporting plugin options as JSON. Attackers could obtain exported files containing plaintext API secrets, including `fbAppSecret`, `googleClientSecret`, and `twitterAppSecret`, from sources like support tickets, backups, or version control repositories.

The software contains an email header injection issue that allows attackers to manipulate email recipients. This is achieved by injecting malicious data into the `comment author email` cookie. The injected data, when processed by the `urldecode()` function and passed to the `wp mail()` function, enables header injection, potentially altering email recipients or adding extra headers.

The software contains a cross-site scripting issue that allows attackers to inject malicious code. This is achieved through unescaped attachment URLs in HTML output, specifically by exploiting the `WpdiscuzHelperUpload` class. Attackers can create malicious attachment records or utilize filter hooks to inject arbitrary JavaScript into `img` and `anchor` tag attributes, leading to code execution within the context of WordPress users viewing comments.

wpDiscuz is susceptible to a cross-site request forgery issue in the `getFollowsPage()` function. The absence of nonce validation allows attackers to perform unauthorized actions. Specifically, malicious requests can be created to enumerate follow relationships and manipulate user follow data due to the missing CSRF protection in the follows page handler.

O software apresenta uma vulnerabilidade devido à ausência de verificações de autorização. Um assinante autenticado pode aprovar ou desaprovar qualquer postagem do fórum explorando o manipulador AJAX `wpforo approve ajax`. A verificação depende exclusivamente de um nonce, que pode ser contornado ao enviar um nonce válido junto com um ID de postagem arbitrário, contornando efetivamente os controles de moderação.

O software contém uma falha de falta de autorização. Assinantes autenticados podem fechar ou reabrir qualquer tópico do fórum por meio do manipulador `wpforo close ajax`. Um atacante pode burlar o requisito de permissão de moderador ao enviar um nonce válido junto com um ID de tópico arbitrário, potencialmente interrompendo discussões no fórum.

Existe uma vulnerabilidade no wpForo Forum que permite que assinantes autenticados realizem ações normalmente reservadas a moderadores. Especificamente, atacantes podem mover, mesclar ou dividir qualquer tópico do fórum usando os manipuladores de ação de formulário `topic move`, `topic merge` e `topic split`. Isso é possível devido à falta de verificação de autorização. Atacantes com um nonce de formulário válido podem reorganizar o conteúdo do fórum, incluindo mover tópicos para fóruns privados, sem as permissões adequadas.

Existe uma vulnerabilidade no wpForo Forum que permite a usuários autenticados realizar a reatribuição em massa de grupos de usuários do wpForo. Isso é possível devido à ausência de uma verificação de capacidades no handler AJAX `wpforo synch roles`. Um atacante pode obter um nonce da página de administração de grupos de usuários, que é acessível a qualquer usuário autenticado, e então remapear todos os grupos de usuários do wpForo para funções arbitrárias do WordPress. O componente vulnerável é o handler `wpforo synch roles`.

O software contém uma vulnerabilidade de Cross-Site Scripting (XSS) armazenado que permite a assinantes autenticados fazerem upload de arquivos SVG especialmente elaborados como avatares de perfil. Isso é possível por meio da funcionalidade de upload de avatar. Um atacante pode fazer upload de um arquivo SVG contendo injeção de CSS ou manipuladores de eventos JavaScript. Esses manipuladores são executados nos navegadores dos usuários que visualizam a página de perfil do atacante.

O software contém uma falha de divulgação de informações que permite a usuários não autenticados recuperar tópicos privados e não aprovados do fórum. Isso é possível por meio do endpoint global do feed RSS. Ao solicitar o feed RSS sem um parâmetro de ID do fórum, as restrições de privacidade e status são contornadas, pois a consulta não aplica as cláusulas WHERE necessárias. O endpoint vulnerável é `/wp-content/plugins/wpforo/rss.php`. A falha permite acesso não autorizado a tópicos do fórum.

O software contém uma vulnerabilidade de cross-site scripting armazenada que permite a injeção de scripts. Isso é alcançado ao manipular dados da URL do fórum, os quais são então inseridos em um bloco de script embutido usando a função `json encode` sem a flag `JSON HEX TAG`. Um atacante pode definir um slug do fórum contendo uma tag de fechamento de script ou uma aspa simples não escapada para sair do contexto da string JavaScript e executar scripts arbitrários nos navegadores dos visitantes.

O software contém uma vulnerabilidade de XSS armazenado. Isso permite que administradores injetem JavaScript persistente por meio dos campos de descrição do fórum. O script injetado é executado quando qualquer usuário visualiza a listagem do fórum, pois a descrição do fórum é exibida sem a devida sanitização de saída em vários arquivos de modelo de tema. Em instalações multisite ou com uma conta de administrador comprometida, um atacante pode definir uma descrição de fórum contendo manipuladores de eventos HTML.

O software apresenta uma vulnerabilidade de injeção SQL não autenticada na função `Topics::get topics()`. O problema decorre da sanitização ineficaz usando `esc sql()` em identificadores não entre aspas na cláusula ORDER BY. Um atacante pode explorar essa vulnerabilidade manipulando o parâmetro `wpfob` com cargas úteis do tipo CASE WHEN para extrair credenciais do banco de dados do WordPress de forma booleana cega.