Sungbyeongchan

The Pie Register WordPress plugin through 3.8.4.15 does not perform an authorisation check in one of its AJAX actions, allowing users with a role as low as contributor to modify existing administrator-created invitation-code records.

Existe uma Referência Direta Insegura a Objetos (IDOR) devido à falta de validação em uma chave controlada pelo usuário. Isso permite que um usuário autenticado com nível de acesso de assinante ou cliente exclua anexos da biblioteca de mídia pertencentes a outros usuários, incluindo aqueles de administradores, sem verificar a propriedade do anexo de mídia.

Estes plugins não impedem que usuários não autenticados armazenem um objeto PHP serializado em metadados de usuário. Este objeto é posteriormente desserializado quando um perfil público é visualizado, permitindo a injeção de objetos PHP. Esta falha pode levar à gravação arbitrária de arquivos e potencial execução remota de código.

Um problema no plugin memberful-wp permite a recuperação de informações sensíveis do sistema incorporadas, expondo-as a uma esfera de controle não autorizada.

Arquivos de estado interno no módulo `mod dav fs` estão acessíveis a partes externas. Isso permite que um cliente remoto leia propriedades mortas do WebDAV de recursos que não tem permissão para editar, enviando uma requisição GET para o diretório de estado `.DAV`.

A validação inadequada do endereço de resposta FTP PASV no módulo `mod proxy ftp` permite que um servidor FTP não confiável force o proxy a abrir uma conexão de dados com um host de terceiros arbitrário. Isso ocorre em configurações de proxy direto quando o servidor processa uma resposta PASV manipulada.

Existe uma Injeção de SQL não autenticada no Books Gallery – Book Showcase, Library & Affiliate Plugin para WordPress. O problema decorre da escape insuficiente de parâmetros fornecidos pelo usuário e da falta de preparação adequada da consulta SQL. Isso permite que atacantes anexem consultas SQL adicionais às consultas existentes para extrair informações sensíveis do banco de dados.

O plugin Appointment Booking Plugin & Scheduling System – Webba Booking Calendar para WordPress contém um problema de Referência Direta Insegura a Objetos (IDOR). Isso ocorre devido à falta de validação em uma chave controlada pelo usuário, permitindo que invasores autenticados com nível de acesso de assinante ou superior realizem ações não autorizadas.

Existe um problema de controle de acesso quebrado que permite que usuários com privilégios de colaborador realizem ações não autorizadas.

Existe um problema de controle de acesso quebrado que permite que usuários com privilégios de Assinante (Subscriber) realizem ações não autorizadas.

Existe um problema de controle de acesso quebrado que permite que usuários com a função de Assinante (Subscriber) realizem ações não autorizadas.

Um problema de controle de acesso quebrado não autenticado existe no plugin Kali Forms. O controle de acesso quebrado ocorre quando um sistema falha em impor adequadamente as restrições sobre o que usuários autenticados ou não autenticados podem fazer, permitindo potencialmente o acesso não autorizado a funções ou dados.