Truoc Phan

O plugin contém um problema de Cross-Site Scripting (XSS) Armazenado no shortcode `vc raw html`. A função `vc raw html::render()` falha ao sanitizar a entrada e escapar a saída, decodificando o conteúdo do shortcode em base64 e inserindo-o diretamente no HTML da página. Esse processo ignora o filtro `wp kses post()`, que é uma função do WordPress usada para sanitizar conteúdo HTML, pois o filtro não decodifica textos em base64. Consequentemente, invasores autenticados com nível de acesso de Colaborador ou superior podem injetar scripts web arbitrários que serão executados quando um usuário, como um Editor ou Administrador, visualizar a página afetada.

The issue is related to Reflected Cross-Site Scripting due to insufficient input sanitization and output escaping. This allows unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link. The `data` parameter is specifically vulnerable to this type of attack.

O problema está relacionado a uma Injeção de SQL baseada em tempo através do parâmetro `subscriptionCouponId`, devido ao escape inadequado no parâmetro fornecido pelo usuário e à falta de preparação adequada na consulta SQL existente. Isso possibilita que atacantes autenticados, com acesso de nível de Assinante (Subscriber) ou superior, anexem consultas SQL adicionais às consultas já existentes, que podem ser usadas para extrair informações sensíveis do banco de dados.

O problema está relacionado à Falsificação de Solicitação Entre Sites (Cross-Site Request Forgery) devido à validação de nonce ausente ou incorreta dentro da ação AJAX `td ajax get views`. Isso permite que atacantes não autenticados injetem scripts web maliciosos por meio de uma solicitação forjada, caso consigam induzir um administrador do site a realizar uma ação específica, como clicar em um link.

A questão está relacionada ao Cross-Site Scripting Refletido devido à sanitização de entrada e escape de saída insuficientes. Isso permite que atacantes não autenticados injetem scripts web arbitrários em páginas que serão executados caso consigam enganar um usuário para realizar uma ação, como clicar em um link. Os parâmetros `account id` e `account username` estão vulneráveis a esta questão.

O problema está relacionado à neutralização inadequada de entradas durante a geração de páginas da Web, também conhecida como “Cross-site Scripting”. Isso permite a execução de XSS armazenado.

O plugin WP Hotel Booking para WordPress está vulnerável a uploads arbitrários de arquivos devido à falta de validação do tipo de arquivo na função `update review()`. Isso permite que invasores autenticados, com acesso de nível de assinante ou superior, façam upload de arquivos arbitrários no servidor do site afetado, o que pode possibilitar a execução remota de código.

O problema decorre de uma sanitização insuficiente de entradas e de uma escapagem insuficiente de saídas na função `on ajax check envato code`, permitindo que invasores não autenticados injetem scripts web arbitrários nas páginas por meio do parâmetro `envato code[]`. Isso pode ser explorado se um invasor induzir um usuário a realizar uma ação específica, como clicar em um link.

A vulnerabilidade está relacionada a Cross-Site Scripting refletido (XSS) por meio do parâmetro `envato code[]`, devido à sanitização insuficiente de entradas e à falta de escapamento de saídas na função `on ajax register forum user`. Isso permite que invasores não autenticados injetem scripts web arbitrários em páginas, os quais serão executados caso consigam induzir um usuário a realizar uma ação, como clicar em um link.

O problema diz respeito a uma vulnerabilidade de injeção SQL cega (Blind SQL Injection) por meio do parâmetro `couponId` do endpoint da API REST “recreate stripe subscription”. Essa vulnerabilidade se deve à escapada insuficiente no parâmetro fornecido pelo usuário e à falta de preparação adequada na consulta SQL existente, permitindo que invasores autenticados com privilégios de nível de administrador acrescentem consultas SQL adicionais às consultas já existentes. Isso pode ser usado para extrair informações confidenciais do banco de dados.

O problema está relacionado a injeção SQL cega por meio do parâmetro `subscriptionCouponId` através do endpoint da API REST “create stripe subscription”. Isso ocorre devido à escapada insuficiente em parâmetros fornecidos pelo usuário e à falta de preparação adequada nas consultas SQL existentes. Invasores autenticados com privilégios de nível de administrador podem anexar consultas SQL adicionais para extrair informações confidenciais do banco de dados.

O problema se deve ao uso de comparação fraca na função `verify id token`, possibilitando que invasores não autenticados façam login como qualquer usuário existente no site, como um administrador, caso tenham acesso a um endereço de e-mail ou número de telefone @flutter.io. Isso também requer que o Firebase esteja configurado no site e que o usuário tenha configurado o Firebase para sua conta.

O problema se deve ao uso de uma comparação frouxa do código de ativação na função `woo slg confirm email user`. Isso permite que invasores não autenticados façam login como qualquer usuário existente no site, como um administrador, caso tenham acesso ao `userID`. O módulo de e-mail deve estar habilitado para que esse problema ocorra.

O problema se deve à verificação insuficiente do parâmetro `phone` nas funções `firebase sms login` e `firebase sms login v2`. Isso permite que invasores não autenticados façam login como qualquer usuário existente, como um administrador, caso tenham acesso ao endereço de e-mail ou número de telefone. Além disso, se um novo endereço de e-mail for fornecido, uma nova conta de usuário é criada com a função padrão, mesmo que o registro esteja desativado.

O problema se deve à verificação insuficiente da `chave API`, permitindo que invasores não autenticados façam login como qualquer usuário existente, como um administrador, caso tenham acesso ao `nome de usuário`. Isso lhes permite realizar várias tarefas administrativas. A vulnerabilidade foi parcialmente corrigida na versão 0.1.0.44, mas continuou passível de exploração por meio de Cross-Site Request Forgery.

O problema se deve à falta de validação dos dados fornecidos pelo usuário na ação AJAX ‘pm upload image’, permitindo que invasores autenticados com acesso de nível de Assinante ou superior atualizem suas permissões de usuário para Administrador.

O problema está relacionado à falta de uma verificação de permissão na função `delete resmush list()`, permitindo que invasores autenticados com permissões mínimas, como um assinante, excluam a lista resmush do Nextgen ou da Biblioteca de Mídia. Isso possibilita a exclusão não autorizada da lista resmush.

O problema está relacionado à falta de verificações de autorização nas chamadas da API REST, permitindo que invasores não autenticados conectem o site à API do InstaWP, editem opções arbitrárias do site e criem contas de administrador.

A vulnerabilidade está relacionada a Stored Cross-Site Scripting (XSS) por meio do shortcode do botão do plugin, devido à sanitização insuficiente de entradas e à falta de escapamento de saída em atributos fornecidos pelo usuário. Isso permite que invasores autenticados com acesso de nível de colaborador ou superior injetem scripts web arbitrários em páginas, os quais serão executados sempre que um usuário acessar uma página infectada. O código vulnerável está especificamente vinculado ao tema tagDiv Newspaper e pode não estar presente se outro tema estiver instalado.

The issue is related to a Cross-Site Request Forgery (CSRF) vulnerability that allows Cross-Site Scripting (XSS) in tagDiv Composer.