Thinnawarth Mathuros

Improper neutralization of input during web page generation ('cross-site scripting') in Microsoft Authentication Library for JavaScript allows an unauthorized attacker to perform spoofing over a network.

Existe um problema onde usuários autenticados com nível de acesso de Autor ou superior podem obter acesso não autorizado a dados. Isso ocorre porque a função `get all values()` no endpoint REST '/wp-json/acf-field-blocks/v1/values' carece de uma verificação de capacidade adequada. Embora o `permission callback` verifique a capacidade `publish posts`, o manipulador passa um parâmetro `id` fornecido pelo usuário diretamente para `get field objects()` sem confirmar se o usuário está autorizado a ler o objeto de destino. Consequentemente, invasores podem ler valores de campos ACF de postagens arbitrárias, incluindo rascunhos, postagens privadas e postagens criadas por outros usuários.

O plugin WP-Members Membership Plugin para WordPress armazena arquivos enviados por usuários em diretórios previsíveis (`wp-content/uploads/wpmembers/user files/<user id>/`) sem controles de acesso suficientes. Isso permite que atacantes não autenticados acessem e baixem diretamente documentos sensíveis enviados por usuários do site, adivinhando ou enumerando os `user id`s e nomes de arquivos. A proteção básica contra listagem de diretórios (.htaccess com Options -Indexes) é insuficiente para impedir o acesso.

O plugin MasterStudy LMS para WordPress – destinado a Cursos Online e Educação – é suscetível a modificações e exclusões não autorizadas de dados. Isso ocorre devido à falta de verificações adequadas de permissões em vários endpoints da API REST. Atacantes autenticados com acesso de nível Assinante ou superior podem explorar isso para realizar ações como fazer upload ou excluir arquivos de mídia arbitrários, modificar ou excluir posts e criar ou gerenciar modelos de cursos.

O plugin The Events Manager para WordPress está suscetível à divulgação de informações. Restrições insuficientes na inclusão de localização dentro da ação `get location` permitem que atacantes não autenticados acessem dados de locais de eventos que deveriam estar protegidos, incluindo aqueles protegidos por senha, privados ou em status de rascunho.

O software está suscetível a uma vulnerabilidade de Cross-Site Request Forgery (CSRF). Isso é causado por validação de nonce inadequada ou ausente na ação `location delete`. Um atacante não autenticado poderia potencialmente excluir locais explorando esta falha, desde que consiga enganar um administrador do site para realizar uma ação, como clicar em um link malicioso.

O plugin Blog2Social: Social Media Auto Post & Scheduler para WordPress possui uma falha relacionada ao upload de arquivos. Uma verificação de capacidade incorreta na função `uploadVideo()` permite que atacantes autenticados com acesso de nível de Assinante ou superior façam upload de arquivos mp4 para o diretório 'wp-content/uploads/<YYYY>/<MM>/'.