Wordfence Argus

Ocorre um estouro de buffer baseado em heap na função `unc decoder mixed interleave::processTile()`. Este problema é desencadeado quando um arquivo HEIF é processado com componentes chroma de profundidades de bits desiguais, como Cb de 16 bits e Cr de 8 bits. Isso permite que um invasor realize gravações fora dos limites além do plano Cr, o que pode levar à execução de código arbitrário em pipelines de processamento de imagem.

Ocorre uma Referência Direta a Objeto Insegura devido à falta de validação em uma chave controlada pelo usuário. Atacantes não autenticados podem excluir rascunhos salvos arbitrários de outros usuários e assumir esses identificadores de rascunho, sobrescrevendo-os com envios de formulários controlados pelo atacante. A exploração requer que o atacante obtenha o `draft id` de uma vítima, que pode ser coletado de um link compartilhado "continuar mais tarde". A verificação de nonce é ignorada porque o nonce está publicamente disponível para qualquer visitante não autenticado que carregue uma página de formulário. O problema é acionado através do parâmetro `previous draft id`.

Uma Injeção de Objeto PHP não autenticada existe devido à desserialização de conteúdo de banco de dados não confiável na função `unserializeTest()` da classe `DUPX UpdateEngine` durante a migração. Atacantes podem armazenar um objeto serializado no conteúdo público do site, que é processado quando um administrador cria um pacote e realiza uma migração ou importação envolvendo a substituição de pesquisa no banco de dados. Na versão gratuita, uma cadeia POP do Requests 1.7 permite a execução direta de comandos do sistema operacional via callbacks selecionados pelo atacante. Na versão Pro, um gadget destruturador `IndexList` permite a exclusão de um arquivo específico se o diretório for gravável pelo processo PHP do instalador; por exemplo, a exclusão do `wp-config.php` pode acionar o assistente de configuração, levando potencialmente à tomada de controle do site e execução de código se o atacante fornecer um banco de dados sob seu controle.

Existe uma falha de bypass de autorização devido à verificação inadequada antes do disparo de um action hook do WordPress. O problema ocorre quando o nome do hook é derivado de um valor de campo de formulário fornecido por um invasor através do placeholder [field] da `email message` de notificação e do token de dados dinâmicos `{action hook,...}`. Isso permite que invasores não autenticados invoquem action hooks arbitrários do WordPress, o que pode levar à destruição permanente do conteúdo do site, como a exclusão de posts, páginas e comentários na lixeira através da ação `wp scheduled delete`. Além disso, pode causar negação de serviço via `wp maybe auto update` ou permitir gravações privilegiadas se manipuladores de terceiros vulneráveis estiverem instalados. O mesmo pipeline permite a leitura cega de meta-dados arbitrários de usuários ou posts, embora o resultado seja entregue apenas ao proprietário do site. A exploração requer um formulário Avada publicado com envio AJAX e um modelo de notificação que contenha um placeholder `[all fields]` ou `[field]` explícito.

Ocorre Cross-Site Scripting Armazenado devido a autorização, sanitização de entrada e escape de saída insuficientes na ação AJAX `save popup content` do Popup Builder. Atacantes não autenticados podem injetar scripts web arbitrários através do parâmetro `content` em um popup Gutenberg publicado. Esses scripts são executados sempre que um usuário acessa uma página na qual o popup está configurado para ser exibido. Este problema requer uma licença premium válida, o módulo Popup Builder e pelo menos um popup Gutenberg publicado configurado para exibição.

Um estouro de buffer baseado em heap existe no adaptador de saída JPEG 2000 dentro do arquivo `base/sjpx openjpeg.c`. O problema ocorre ao processar um PDF manipulado contendo uma imagem JPEG 2000 com fatores de subsampling de componentes incompatíveis. Nesses casos, o caminho de saída de profundidade de sub-byte não-samescale aloca um buffer de linha dimensionado para saída compactada, mas grava um byte completo por coluna de saída, independentemente da profundidade de bits. Isso resulta na corrupção de memória dos metadados do alocador de chunks interno, o que pode levar ao travamento do processo ou à execução remota de código.

Atacantes não autenticados podem executar código remotamente no servidor devido a uma proteção insuficiente na função `is safe widget instance()`. O problema ocorre porque os métodos mágicos do PHP são acionados durante o pré-processamento (pre-parse), e a função `enable rendering widget copied()` pode forjar um atributo de integridade `wp hash` válido antes que a função `unserialize()` seja alcançada. Isso permite a Injeção de Objetos PHP. A falha é explorável quando os comentários estão habilitados e visíveis em eventos, pois o template de evento único V2 processa `do blocks()` sobre o HTML de comentários bufferizado. Um comentador não autenticado pode usar uma URL de hash de moderação para visualizar seu comentário pendente imediatamente, entregando a marcação de bloco injetada ao caminho de código vulnerável antes que a moderação ocorra.

Atacantes não autenticados podem realizar a Execução Remota de Código no servidor através da função `parse array()` em `Element Classes::parse array()`. O problema decorre da validação insuficiente do mapa `classes` do widget, permitindo que um payload de array simples ignore a verificação de objeto `is safe widget instance()` e atinja um sumidouro de invocação chamável. Esta cadeia de ataque é acionada quando o `do blocks()` processa o HTML de evento único, incluindo a área de comentários. A exploração bem-sucedida requer que o site tenha comentários habilitados em postagens `tribe events` e que um comentário contendo um bloco `wp:legacy-widget` manipulado tenha sido enviado.

O plugin Tutor LMS para WordPress é afetado por um problema de Injeção de Objeto PHP que pode levar à execução remota de código em mais de 100.000 sites em todo o mundo. A falha reside no manipulador AJAX `tutor save withdraw account` através do parâmetro `withdraw method field`. O manipulador carece de verificações adequadas de capacidade ou função, dependendo apenas de um nonce. O problema ocorre porque a função `esc sql()` é mal aplicada a valores armazenados via `update user meta()`, causando uma dessincronização no comprimento da serialização, onde a declaração de comprimento da string serializada fica 65 bytes maior que o conteúdo real. Isso permite que a função `unserialize()` realize uma leitura excessiva em chaves POST controladas pelo invasor e injete um fluxo de objeto serializado arbitrário. Atacantes com nível de acesso de assinante ou superior podem acionar a cadeia POP (Property-Oriented Programming) `GuzzleHttpCookieFileCookieJar` através do carregador `spl autoload register` em `TUTORRestAPI`, permitindo a gravação de conteúdo arbitrário em um arquivo no servidor. Isso pode ser explorado por usuários não autenticados se o registro de usuários e o recurso de monetização estiverem habilitados.

Um problema de upload arbitrário de arquivos afeta mais de 1 milhão de instalações do WordPress. A falha origina-se de uma validação insuficiente do estado de chunk de upload de múltiplos arquivos na função `GFAsyncUpload::upload()`. Especificamente, ocorre uma falha de confusão de domínio criptográfico porque o `wp hash()` é reutilizado sem separação de contexto tanto para o estado do formulário público quanto para a autenticação de continuação de chunk, permitindo que invasores reutilizem um hash de URL legítimo para autenticar solicitações de upload maliciosas. Invasores não autenticados podem explorar isso quando um formulário público possui um campo de Upload de Arquivo com a opção de Múltiplos Arquivos ativada, fazendo o upload de um poliglota PNG ou PDF—um arquivo que é válido em dois formatos diferentes—para um nome de arquivo de sua escolha, como `.php` ou `.html`, no diretório temporário de upload. Isso pode levar à execução remota de código em sistemas que utilizam NGINX ou outros servidores web que não respeitam arquivos `.htaccess`. Em servidores onde a execução de PHP é bloqueada, como o Apache, o upload de um arquivo HTML pode resultar em cross-site scripting (XSS) armazenado de mesma origem, que ocorre quando um script malicioso é armazenado permanentemente no servidor e executado no navegador da vítima.

Existe uma falha de bypass de autenticação no fluxo de Single Sign-On (SSO) do Hub, afetando potencialmente cerca de 350.000 sites WordPress. O problema decorre de uma confusão de canonicalização de HMAC — uma falha de design de protocolo onde o signatário e o verificador divergem sobre a estrutura da mensagem — entre dois endpoints AJAX não autenticados: 'wdpsso step1' e 'wdpsso step2'. No 'wdpsso step1', o sistema assina uma concatenação de `token`, `state`, `redirect` e `domain` sem delimitadores. No entanto, o 'wdpsso step2' verifica uma concatenação que omite o campo `domain`. Um invasor pode usar o 'wdpsso step1' como um oráculo de assinatura, fornecendo um valor de `redirect` vazio para obter um HMAC válido para a combinação de `token`, `state` e `domain`. Ao reproduzir esse HMAC no 'wdpsso step2' e mover o valor de `domain` para o campo `redirect`, a string de bytes resultante permanece idêntica, fazendo com que a verificação seja bem-sucedida. Isso permite que um invasor não autenticado obtenha uma sessão de administrador autenticada se o Hub SSO estiver habilitado e mapeado para um administrador. Se o editor de temas ou plugins do WordPress estiver acessível, isso pode levar ao controle total do site e à execução remota de código via modificação de PHP.

Um invasor não autenticado pode alcançar a execução remota de código e o comprometimento total do site ao gravar arquivos PHP controlados pelo invasor no servidor. Isso é possível por meio de uma cadeia de seis etapas de fraquezas envolvendo autorização, validação de entrada, limites de confiança, comportamento privilegiado e manipulação de arquivos entre o tema e seu plugin obrigatório. A exploração bem-sucedida requer que tanto o tema quanto o plugin estejam instalados e ativos, bem como a presença de certos conteúdos criados por administradores. Mais de 1 milhão de sites estão potencialmente afetados.