Wordfence Argus

The The Events Calendar plugin for WordPress is vulnerable to Remote Code Execution in all versions up to, and including, 6.17.4 via the is safe widget instance function. This is due to insufficient protection in is safe widget instance, which can be bypassed because PHP fires magic methods during its pre-parse, combined with enable rendering widget copied() forging a valid wp hash integrity attribute before unserialize() is reached. This makes it possible for unauthenticated attackers to execute code on the server. This is exploitable without authentication or approval because the plugin's V2 single-event template runs do blocks() over buffered comment HTML, and WordPress returns a moderation-hash URL that allows an unauthenticated commenter to immediately view their own pending comment, delivering the injected block markup to the vulnerable code path before any moderation occurs. This does require comments to be enabled and visible on events.

The The Events Calendar plugin for WordPress is vulnerable to Remote Code Execution in all versions up to, and including, 6.17.3 via the parse array function. This is due to insufficient validation of the widget 'classes' map, allowing a plain-array payload to bypass the is safe widget instance() object check and reach the callable-invocation sink in Element Classes::parse array(). This makes it possible for unauthenticated attackers to execute code on the server. Exploitation requires that the targeted site has comments enabled on tribe events posts and that at least one comment containing a crafted wp:legacy-widget block has been submitted, as the attack chain is triggered when do blocks() processes the single-event HTML including the comment area.

The Tutor LMS – eLearning and online course solution plugin for WordPress is vulnerable to PHP Object Injection in all versions up to, and including, 4.0.7 via the `withdraw method field` parameter of the `tutor save withdraw account` AJAX handler. This is due to the handler lacking any capability or role check, relying solely on a nonce, while also passing attacker-supplied values through `esc sql()`, which replaces every `%` character with a 66-byte HMAC placeholder token before the data is serialized and stored via `update user meta()`; when the meta is later retrieved, the placeholder is collapsed back to a single `%`, leaving serialized string length declarations 65 bytes greater than the actual content, and because array keys originate from entirely unescaped POST field names, `unserialize()` over-reads into attacker-controlled bytes, allowing injection of an arbitrary serialized object stream. This makes it possible for authenticated attackers, with subscriber-level access and above, to achieve remote code execution on the server by triggering the `GuzzleHttpCookieFileCookieJar` POP chain, reachable via the `spl autoload register` loader in `TUTORRestAPI` which loads the plugin's own bundled PayPal Composer autoloader, writing attacker-controlled content to an attacker-specified filename. This has an unauthenticated pathway when user registration is enabled, which is common for students and teachers to register, and it requires the monetization feature to be enabled.

**Nome do Software Vulnerável e Versões Afetadas** Gravity Forms versões anteriores a 3.0.3 **Description** Um problema de upload arbitrário de arquivos afeta mais de 1 milhão de instalações do WordPress. A falha origina-se de uma validação insuficiente do estado de chunk de upload de múltiplos arquivos na função `GFAsyncUpload::upload()`. Especificamente, ocorre uma falha de confusão de domínio criptográfico porque o `wp hash()` é reutilizado sem separação de contexto tanto para o estado do formulário público quanto para a autenticação de continuação de chunk, permitindo que invasores reutilizem um hash de URL legítimo para autenticar solicitações de upload maliciosas. Invasores não autenticados podem explorar isso quando um formulário público possui um campo de Upload de Arquivo com a opção de Múltiplos Arquivos ativada, fazendo o upload de um poliglota PNG ou PDF—um arquivo que é válido em dois formatos diferentes—para um nome de arquivo de sua escolha, como `.php` ou `.html`, no diretório temporário de upload. Isso pode levar à execução remota de código em sistemas que utilizam NGINX ou outros servidores web que não respeitam arquivos `.htaccess`. Em servidores onde a execução de PHP é bloqueada, como o Apache, o upload de um arquivo HTML pode resultar em cross-site scripting (XSS) armazenado de mesma origem, que ocorre quando um script malicioso é armazenado permanentemente no servidor e executado no navegador da vítima. **Recommendations** Atualize o Gravity Forms para uma versão posterior à 3.0.2. Como mitigação temporária, desative a opção de Múltiplos Arquivos nos campos de Upload de Arquivo em todos os formulários públicos.

**Nome do Software Vulnerável e Versões Afetadas** WPMU DEV Dashboard versões anteriores a 5.0.2 **Description** Existe uma falha de bypass de autenticação no fluxo de Single Sign-On (SSO) do Hub, afetando potencialmente cerca de 350.000 sites WordPress. O problema decorre de uma confusão de canonicalização de HMAC — uma falha de design de protocolo onde o signatário e o verificador divergem sobre a estrutura da mensagem — entre dois endpoints AJAX não autenticados: 'wdpsso step1' e 'wdpsso step2'. No 'wdpsso step1', o sistema assina uma concatenação de `token`, `state`, `redirect` e `domain` sem delimitadores. No entanto, o 'wdpsso step2' verifica uma concatenação que omite o campo `domain`. Um invasor pode usar o 'wdpsso step1' como um oráculo de assinatura, fornecendo um valor de `redirect` vazio para obter um HMAC válido para a combinação de `token`, `state` e `domain`. Ao reproduzir esse HMAC no 'wdpsso step2' e mover o valor de `domain` para o campo `redirect`, a string de bytes resultante permanece idêntica, fazendo com que a verificação seja bem-sucedida. Isso permite que um invasor não autenticado obtenha uma sessão de administrador autenticada se o Hub SSO estiver habilitado e mapeado para um administrador. Se o editor de temas ou plugins do WordPress estiver acessível, isso pode levar ao controle total do site e à execução remota de código via modificação de PHP. **Recommendations** Atualize o WPMU DEV Dashboard para a versão 5.0.2. Como medida paliativa temporária, desative o Hub SSO.

**Nome do Software Vulnerável e Versões Afetadas** Avada versões anteriores a 7.16.1 Fusion Builder versões anteriores a 3.16.1 **Description** Um invasor não autenticado pode alcançar a execução remota de código e o comprometimento total do site ao gravar arquivos PHP controlados pelo invasor no servidor. Isso é possível por meio de uma cadeia de seis etapas de fraquezas envolvendo autorização, validação de entrada, limites de confiança, comportamento privilegiado e manipulação de arquivos entre o tema e seu plugin obrigatório. A exploração bem-sucedida requer que tanto o tema quanto o plugin estejam instalados e ativos, bem como a presença de certos conteúdos criados por administradores. Mais de 1 milhão de sites estão potencialmente afetados. **Recommendations** Atualize o Avada para a versão 7.16.1 ou posterior. Atualize o Fusion Builder para a versão 3.16.1 ou posterior.