Theviper17Y

The Aruba HiSpeed Cache plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the Post Content in all versions up to, and including, 3.0.14 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

If you run a WordPress site, you gotta stop whatever you are doing and check your dashboard immediately. So I was just looking through the Wordfence database and found a crazy vulnerability in W3 Total Cache, that huge plugin with almost a million active installs. We are talking about an unauthenticated Stored Cross-Site Scripting flaw, CVE-2026-78438, affecting every single version up to 2.10.5. This thing gets a 7.2 severity score which is insane because an attacker does not even need to be logged in to inject malicious script through the lazy load background mutator and compromise your site. Imagine waking up to find your site or your client sites injected with spam or malware just because of a missed update. Go check your installed plugins right now and update that thing to the latest version before someone takes advantage of it. Stay safe out there guys, this stuff is no joke.

The Spam protection, Honeypot, Anti-Spam by CleanTalk plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Comment Content aria-label Placeholder in all versions up to, and including, 6.86 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with custom-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The payload is deliverable via unauthenticated comment submission and executes exclusively for non-logged-in visitors; if comment moderation is enabled, an approving moderator must first publish the comment before the script reaches other users.

**Nome do Software Vulnerável e Versões Afetadas** WP Recipe Maker Premium versões anteriores a 10.5.1 **Descrição** Ocorre Cross-Site Scripting Armazenado através do shortcode 'wprm-call-to-action' devido à sanitização de entrada e escape de saída insuficientes em atributos fornecidos pelo usuário. Atacantes autenticados com nível de acesso de contribuidor ou superior podem injetar scripts web arbitrários em páginas, que serão executados sempre que um usuário acessar a página afetada. **Recomendações** Atualize o WP Recipe Maker Premium para a versão 10.5.1 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Affiliate Super Assistent versões anteriores a 1.10.3 **Description** A sanitização de entrada e a escape de saída insuficientes na função `doCommentShortcode()` permitem que atacantes não autenticados realizem Stored Cross-Site Scripting. Isso possibilita a injeção de scripts web arbitrários em páginas, que são executados quando um usuário acessa a página afetada. **Recommendations** Atualize o plugin para uma versão posterior a 1.10.2. Como medida paliativa temporária, considere desativar a função `doCommentShortcode()` até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** Bold Page Builder versões anteriores a 5.6.9 **Descrição** Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes em atributos fornecidos pelo usuário no shortcode `bt bb shortcode`. Atacantes autenticados com nível de acesso de contribuidor ou superior podem injetar scripts web arbitrários em páginas, que serão executados sempre que um usuário acessar a página afetada. **Recomendações** Atualize o Bold Page Builder para a versão 5.6.9 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Kadence Blocks — Page Builder Toolkit for Gutenberg Editor versões anteriores a 3.7.8.2 **Descrição** Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes no Conteúdo de Imagem Interna do Bloco de Identidade. Atacantes autenticados com nível de acesso de contribuidor ou superior podem injetar scripts web arbitrários em páginas, que serão executados sempre que um usuário acessar a página afetada. Este problema é acionável quando o atributo `urlTransparent` é definido com um valor não vazio, permitindo que o caminho de execução na função `build html()` seja alcançado. **Recomendações** Atualize para uma versão posterior à 3.7.8.1. Como medida de mitigação temporária, certifique-se de que o atributo `urlTransparent` não esteja configurado com um valor não vazio.

**Nome do Software Vulnerável e Versões Afetadas** Customer Support Ticket System & Helpdesk plugin for WordPress versões anteriores a 6.0.6 **Descrição** A Injeção de Código é possível devido ao uso de invocação dinâmica de função em um valor controlado por um invasor com validação insuficiente. Atacantes não autenticados podem invocar funções PHP arbitrárias sem parâmetros, o que pode interromper a funcionalidade do site ou expor informações sensíveis. Isso é alcançável através do parâmetro `path`. O nonce necessário é emitido publicamente via `wp localize script` quando o shortcode `[emd form]` é renderizado em qualquer página pública, permitindo que o endpoint seja acessado sem autenticação ou privilégios. **Recomendações** Atualize o plugin Customer Support Ticket System & Helpdesk para WordPress para a versão 6.0.6 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Spectra Gutenberg Blocks – Website Builder for the Block Editor versões anteriores a 2.19.29 **Descrição** Ocorre Cross-Site Scripting Armazenado através do bloco `uagb/image` devido à sanitização de entrada e escape de saída insuficientes. Isso permite que atacantes autenticados com nível de acesso de Colaborador ou superior injetem scripts web arbitrários em páginas, que são executados quando um usuário visita a página afetada. **Recomendações** Atualize para uma versão posterior a 2.19.28.

**Nome do Software Vulnerável e Versões Afetadas** RPB Chessboard versões anteriores a 8.1.3 **Descrição** A sanitização de entrada e a escape de saída insuficientes permitem que atacantes não autenticados realizem Stored Cross-Site Scripting. Atacantes podem injetar scripts web arbitrários em páginas que são executados quando um usuário as acessa. Isso ocorre porque o filtro `comment text()` do plugin sintetiza HTML que quebra atributos no momento da renderização, ignorando a sanitização kses do WordPress no momento do salvamento ao utilizar tags e atributos permitidos, como elementos `<a>` com atributos `title` e `href`. **Recomendações** Atualize o RPB Chessboard para a versão 8.1.3 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Plus Addons for Elementor versões anteriores a 6.4.12 **Descrição** Usuários autenticados com permissões de nível Contribuidor ou superior podem executar um ataque de Cross-Site Scripting (XSS) Armazenado. O problema ocorre porque a função `render()` em `modules/widgets/tp button.php` processa a variável `custom attributes` usando o filtro `tp senitize js input()`, que pode ser burlado para injetar scripts maliciosos. **Recomendações** Atualizar para a versão 6.4.12.

**Nome do Software Vulnerável e Versões Afetadas** RTMKit versões anteriores a 2.0.8 **Description** O plugin RTMKit para WordPress contém um problema de Stored Cross-Site Scripting. Isso ocorre porque a função `render()` não aplica `esc attr()` à configuração `background text heading` no widget Advanced Heading, permitindo que o valor seja concatenado diretamente em um atributo HTML. Atacantes autenticados com nível de acesso de contribuidor ou superior podem explorar isso injetando scripts web arbitrários em páginas, que são executados quando um usuário visita a página afetada. **Recommendations** Atualize o RTMKit para uma versão posterior a 2.0.7. Como mitigação temporária, restrinja o acesso ao parâmetro 'Background Text' do widget Advanced Heading para usuários com nível de acesso de contribuidor.

**Nome do Software Vulnerável e Versões Afetadas** Plugin Embed Any Document – Embed PDF, Word, PowerPoint and Excel Files para WordPress, versões até e incluindo a 2.7.5 **Descrição** A vulnerabilidade permite que atacantes autenticados, com acesso de nível de Contribuidor ou superior, façam requisições web para locais arbitrários originadas da aplicação web via o shortcode `embeddoc`. Isso pode ser usado para consultar e modificar informações de serviços internos. **Recomendações** Para versões até e incluindo a 2.7.5, atualize para uma versão superior a 2.7.5 para resolver o problema. Como medida temporária, considere restringir o acesso ao shortcode `embeddoc` para minimizar o risco de exploração.

**Name of the Vulnerable Software and Affected Versions** Read More & Accordion plugin for WordPress versions up to, and including, 3.4.2 **Description** The issue is related to a missing capability check on the `expmDeleteData()` function, which allows authenticated attackers with Subscriber-level access and above to delete arbitrary 'read more' posts, resulting in unauthorized modification and loss of data. **Recommendations** For versions up to, and including, 3.4.2, consider disabling the `expmDeleteData()` function until a patch is available to prevent unauthorized data deletion. Restrict access to the plugin's functionality to minimize the risk of exploitation, ensuring only authorized users can modify or delete 'read more' posts.

**Nome do Software Vulnerável e Versões Afetadas** O plugin The Custom Login Page Styler – Limit Login Attempts – Restrict Content With Login – Redirect After Login – Change Login URL – Sign in , Sign out para WordPress, versões até a 7.1.1 (inclusive) **Descrição** O problema está relacionado ao acesso não autorizado devido à falta de uma verificação de capacidade nas funções `lps handle delete all logs()`, `lps handle delete login log()` e `lps handle end session()`. Isso permite que atacantes autenticados com acesso de nível de Assinante ou superior excluam logs de login e encerram sessões de usuário. **Recomendações** Para versões até a 7.1.1 (inclusive), considere desativar as funções `lps handle delete all logs()`, `lps handle delete login log()` e `lps handle end session()` até que uma correção esteja disponível para prevenir acesso não autorizado. Restrinja o acesso a essas funções para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** Plugin Drag and Drop Multiple File Upload – Contact Form 7 para WordPress versões até a 1.3.8.5 inclusive **Descrição** O problema está relacionado à validação insuficiente de caminho de arquivo na função `dnd codedropz upload delete()`, permitindo que atacantes não autenticados excluam um número limitado de arquivos arbitrários no servidor. No entanto, não é possível excluir arquivos críticos como `wp-config.php`, o que permitiria execução remota de código (RCE). **Recomendações** Para versões até a 1.3.8.5 inclusive, atualize para uma versão superior a 1.3.8.5 para resolver o problema. Como solução temporária, considere restringir o acesso à função `dnd codedropz upload delete()` até que uma correção esteja disponível. Além disso, monitore os logs do servidor em busca de atividade suspeita de exclusão de arquivos para minimizar danos potenciais.

**Nome do Software Vulnerável e Versões Afetadas** MDTF – Plugin Meta Data and Taxonomies Filter para WordPress versões até e incluindo a 1.3.3.6 **Descrição** O problema está relacionado ao Cross-Site Scripting (XSS) Armazenado via shortcode 'mdf results by ajax' do plugin, devido à sanitização de entrada e escape de saída insuficientes nos atributos fornecidos pelo usuário. Isso permite que atacantes autenticados, com acesso de nível de contribuidor ou superior, injetem scripts web arbitrários em páginas que serão executados sempre que um usuário acessar uma página injetada. **Recomendações** Para versões até e incluindo a 1.3.3.6, atualize para uma versão superior à 1.3.3.6 para resolver o problema. Como solução temporária, considere desativar o shortcode `mdf results by ajax` até que uma correção esteja disponível. Restrinja o acesso ao shortcode `mdf results by ajax` para minimizar o risco de exploração. Evite usar atributos fornecidos pelo usuário no shortcode afetado até que o problema seja resolvido.

**Nome do Software Vulnerável e Versões Afetadas** Plugin The Ultimate WordPress Toolkit – WP Extended para WordPress nas versões até e incluindo a 3.0.12 **Descrição** O problema está relacionado a uma Injeção de SQL baseada em tempo através do módulo Login Attempts, devido ao escapamento insuficiente no `parâmetro fornecido pelo usuário` e à falta de preparação adequada na consulta SQL existente. Isso permite que atacantes não autenticados anexem consultas SQL adicionais às consultas já existentes, o que pode ser utilizado para extrair informações sensíveis do banco de dados. **Recomendações** Para versões até e incluindo a 3.0.12, atualize para uma versão superior à 3.0.12 para resolver o problema. Como medida temporária, considere restringir o acesso ao módulo Login Attempts até que uma correção esteja disponível.

**Nome do Software Vulnerável e Versões Afetadas** Plugin SKT Page Builder para WordPress versões até a 4.6, inclusive **Descrição** A falha permite o upload de arquivos arbitrários devido à ausência de verificação de capacidade na função `addLibraryByArchive`. Isso possibilita que atacantes autenticados, com acesso de nível de assinante ou superior, façam upload de arquivos arbitrários que tornam possível a execução remota de código. **Recomendações** Para versões até a 4.6, inclusive, atualize para uma versão que inclua uma correção para a verificação de capacidade ausente na função `addLibraryByArchive` para impedir o upload de arquivos arbitrários. Como solução temporária, considere desabilitar a função `addLibraryByArchive` até que uma correção esteja disponível.

**Nome do Software Vulnerável e Versões Afetadas** Plugin Skyword API para WordPress, versões até a 2.5.2, inclusive **Descrição** O problema está relacionado a Cross-Site Scripting Armazenado via o shortcode 'skyword iframe' do plugin, devido à sanitização de entrada e escape de saída insuficientes nos atributos fornecidos pelo usuário. Isso permite que atacantes autenticados com acesso de nível de colaborador ou superior injetem scripts web arbitrários em páginas que serão executados sempre que um usuário acessar uma página injetada. **Recomendações** Para versões até a 2.5.2, inclusive, considere desativar o shortcode `skyword iframe` até que uma correção esteja disponível para prevenir a exploração. Restrinja o acesso às páginas que utilizam este shortcode para minimizar o risco de execução de scripts web arbitrários. Atualize para uma versão que inclua a correção para este problema assim que estiver disponível.