Vaibhav Narkhede

Uma ação AJAX não autenticada falha ao realizar verificações de autorização ou visibilidade ao retornar registros de membros da equipe por ID. Isso permite que atacantes não autenticados enumerem e divulguem informações sensíveis, como endereços de e-mail e números de telefone, de membros da equipe que o administrador não publicou publicamente.

O plugin falha ao realizar verificações de capacidade, nonce ou sessão em uma ação AJAX pública, especificamente na função `formychat get gf entry()`. Isso permite que usuários não autenticados leiam entradas enviadas de qualquer formulário criado com um formulário de terceiros suportado. Um nonce é um token único usado para prevenir ataques de repetição, garantindo que uma solicitação seja intencional e provenha de uma fonte confiável.

O plugin não exclui, por padrão, os endereços de e-mail das contas registradas dos usuários dos dados estruturados exibidos em páginas públicas. Isso permite que visitantes não autenticados obtenham o endereço de e-mail de qualquer usuário que tenha publicado conteúdo.

Existe uma falha de bypass de autorização no manipulador de submissão pública que permite que usuários não autenticados recuperem a configuração completa armazenada de um formulário. Isso pode levar à divulgação de informações sensíveis, como endereços de destinatários de notificação, alvos de redirecionamento de confirmação e configurações de integração, incluindo dados de formulários que não foram publicados.

O plugin não verifica o status de um documento antes de emitir um token de download e transmitir o arquivo. Isso permite que atacantes não autenticados baixem documentos arbitrários, incluindo aqueles marcados como privados ou rascunhos, através da enumeração de IDs de documentos.

Uma verificação de autorização está ausente em uma rota REST que retorna dados de conta armazenados. Isso permite que visitantes não autenticados recuperem o segredo da API do serviço conectado e detalhes da conta, que podem ser usados posteriormente para desconectar a integração do plugin.

Existe um problema onde o plugin não verifica adequadamente se uma sessão do portal do cliente concluiu a etapa de confirmação antes de retornar dados. Isso permite que usuários não autenticados acessem e leiam as informações de assinatura e faturamento de outros clientes.

O plugin falha ao realizar uma verificação de capacidade em certos endpoints de uma ação AJAX pública, especificamente na função `kirki get apis`. Isso permite que usuários não autenticados recuperem endereços de e-mail de usuários registrados e autores de comentários, bem como conteúdo de páginas e configurações não públicas.

Existe um problema onde o plugin falha ao realizar verificações de capacidade ou propriedade na ação de atualização de status de reserva. Esta ação está exposta a usuários não autenticados e é protegida apenas por um nonce (um número usado uma única vez para evitar ataques de repetição) que está publicamente disponível para visitantes, permitindo que atacantes não autenticados modifiquem o status de reservas arbitrárias.

O plugin não realiza verificações de capacidade ou de nonce em uma ação de endpoint REST público. Isso permite que usuários não autenticados excluam arquivos ZIP de exportação de álbuns gerados e armazenados pelo sistema através da ação `delexportzips`. Um nonce é um token único usado para prevenir ataques de repetição, garantindo que uma solicitação seja intencional e provenha de uma fonte confiável.

O controle de acesso insuficiente em um endpoint REST permite que usuários com a função de Colaborador ou superior salvem CSS global arbitrário. Este CSS armazenado é renderizado em todo o site no front-end, o que pode levar a desfiguração (defacement), ocultação de conteúdo e redimensionamento de interface (UI redressing), uma técnica usada para enganar um usuário para realizar uma ação em um aplicativo diferente daquele que pretendia.

A sanitização insuficiente de arquivos SVG e SVGZ carregados permite que usuários autenticados com a capacidade `upload files` (nível Autor e acima) façam o upload de arquivos contendo JavaScript malicioso. Isso leva ao Stored Cross-Site Scripting, onde scripts web arbitrários são injetados em páginas e executados sempre que um usuário acessa a página afetada.

Existe um problema onde um manipulador de pesquisa de usuários não é devidamente restringido a usuários autorizados a listar usuários. Isso permite que qualquer usuário autenticado com nível de acesso Colaborador (Contributor) ou superior recupere os endereços de e-mail de todos os usuários registrados, incluindo administradores, através da função `geodir json search users`.

Um usuário não autenticado pode fazer o upload de arquivos arbitrários porque o plugin não valida o tipo, a extensão, o conteúdo ou o tamanho dos arquivos enviados para seu endpoint de resposta pública. Esses arquivos são armazenados no diretório de uploads. Como a extensão original é descartada e os arquivos são armazenados usando um UUID (Identificador Único Universal) simples, este problema não permite a execução de código ou XSS (Cross-Site Scripting) armazenado. O impacto limita-se ao consumo de disco e hospedagem de conteúdo. Este problema requer que o armazenamento de resposta do canal ou o encaminhamento de e-mail estejam configurados.

Existe um problema onde o plugin não realiza verificações de capacidade ou validação de nonce—um mecanismo de segurança usado para prevenir falsificação de requisição cross-site—em uma ação AJAX utilizada para processar reembolsos de captura de pagamento. Isso permite que qualquer usuário autenticado, incluindo aqueles com privilégios de Assinante, acione reembolsos de pedidos capturados.

Após a ativação, o plugin concede capacidades de agente de suporte ao nível de Colaborador (Contributor). Além disso, não realiza uma verificação de capacidade em um manipulador de listagem de usuários, permitindo que usuários com privilégios de Colaborador enumerem os endereços de e-mail de todos os usuários registrados no WordPress.

Requisitos insuficientes de capacidade administrativa para a ação de importação de modelo do painel permitem que usuários com permissões `edit posts`, como Colaboradores, importem modelos. Um invasor pode incluir um widget HTML do Elementor configurado para exibição em todo o site para injetar JavaScript que é executado na sessão de qualquer visitante ou administrador que carregue o site.

Existe um problema em um recurso de pesquisa de administração que falha ao realizar verificações de capacidade de leitura por usuário nos resultados retornados. Isso permite que usuários com funções de baixo privilégio, como Contributor, divulguem conteúdo não público que normalmente seria restrito, incluindo títulos de postagens não publicadas de outros autores, conteúdo de comentários pendentes, nomes de contas de usuário e o inventário do plugin.

O plugin Decent Comments para WordPress não restringe o acesso aos endereços de e-mail dos autores de comentários e dos autores de postagens por meio de seu endpoint de API REST. Isso permite que atacantes não autenticados enumerem os endereços de e-mail de usuários registrados.