Wordfence Prism

Ocorre Cross-Site Scripting Armazenado através do parâmetro `flip-box-image-upload-url-01-alt`. O problema surge porque o plugin utiliza `sanitize text field()` em funções como `Inc/Style22::register child()` (e estilos 18, 19, 20, 25, 29), que preserva caracteres de aspas duplas. Esses valores são posteriormente concatenados em atributos HTML com aspas duplas em `Public Render/Style22::default render()` (e renderizadores correspondentes para os estilos 18, 19, 20, 25, 29) sem a filtragem `esc attr()`. Atacantes autenticados com nível de acesso de contribuidor ou superior podem injetar scripts web arbitrários em páginas. Esses scripts são executados quando um usuário acessa qualquer página que contenha um shortcode ou bloco `[oxilab flip box]` afetado.

Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes autenticados com nível de acesso de contribuidor ou superior podem injetar scripts web arbitrários através do parâmetro `help title`. Esses scripts são executados sempre que um usuário acessa a página afetada.

Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes autenticados com nível de acesso de contribuidor ou superior podem injetar scripts web arbitrários em páginas através do parâmetro `headingTag`. Esses scripts são executados sempre que um usuário acessa a página afetada.

Ocorre Cross-Site Scripting Armazenado através do parâmetro `items`. O problema decorre da sanitização insuficiente do campo `link` por imagem no manipulador REST `save merged items()` e na função `ImagesAdapter::normalize item row()`, que preserva chaves desconhecidas literalmente. Além disso, a função `Modula Helper::generate attributes()` aplica apenas `esc attr()` ao href da âncora resultante e não remove o esquema de URL `javascript:`. Isso permite que atacantes autenticados com nível de acesso de Autor ou superior injetem scripts web arbitrários em páginas que serão executados sempre que um usuário acessar a página injetada e clicar no bloco da galeria.

Existe um problema onde atacantes autenticados com nível de acesso de assinante ou superior podem realizar uma Injeção de SQL genérica. Isso ocorre devido à escape insuficiente de parâmetros fornecidos pelo usuário e à falta de preparação suficiente na consulta SQL existente. A falha é acionada através do parâmetro `input <field id>.<part>`, afetando especificamente partes de campos de nome ou linhas de campos de lista do Gravity Forms. A exploração bem-sucedida permite que atacantes anexem consultas SQL adicionais para extrair informações sensíveis do banco de dados. Isso requer que uma conquista do GamiPress esteja configurada em um evento de 'envio de valor de campo' do Gravity Forms com o formulário correspondente publicado.

Este problema envolve a Injeção de Objeto PHP causada pela desserialização de entradas não confiáveis. Atacantes não autenticados podem injetar um Objeto PHP, embora o impacto dependa da presença de uma POP chain (uma sequência de gadgets usada para executar código arbitrário) em outro plugin ou tema instalado. Se tal cadeia existir, poderá levar à exclusão de arquivos arbitrários, recuperação de dados sensíveis ou execução remota de código. A exploração requer que um administrador tenha configurado pelo menos uma integração NexForms ativa no banco de dados. No nível gratuito, apenas chaves de parâmetros POST contendo as substrings `name`, `email`, `first` ou `last` são processadas pelo normalizador vulnerável.

Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes autenticados com nível de acesso de colaborador ou superior podem injetar scripts web arbitrários em páginas através do atributo de bloco `modalPlaceholder`. Esses scripts são executados no navegador de qualquer administrador ou editor que visualize ou pré-visualize uma postagem pendente contendo a carga maliciosa.

A exposição de informações sensíveis ocorre através do parâmetro `id`. Atacantes autenticados com nível de acesso de colaborador ou superior podem extrair o conteúdo completo do corpo renderizado de qualquer postagem protegida por senha de qualquer tipo de postagem, incorporando o shortcode com o ID da postagem alvo. Além disso, atacantes com nível de autor ou superior podem publicar uma postagem incorporando o shortcode, expondo o conteúdo protegido por senha a visitantes não autenticados.

Existe um problema onde o manipulador AJAX `checkToken()`, registrado no endpoint `wp ajax pubjet-check-token`, não realiza verificações de capacidade ou de nonce. Isso permite que usuários autenticados com nível de acesso Assinante ou superior utilizem o parâmetro GET `token` para sobrescrever a opção `pubjet settings` de todo o site através da função `pubjet update setting()`. Ao injetar um token escolhido, um invasor pode burlar a autenticação na função `RestApi::isTokenValid()`, que valida o cabeçalho `Authorization` em relação ao token armazenado. Isso resulta em escalada de privilégios, permitindo o acesso não autorizado a endpoints restritos, incluindo `createReportage`, `updateReportage`, `deleteReportage`, `toggleCopyright` e `createBacklink` para gerenciar postagens de reportagem e estados do plugin.

Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes não autenticados podem injetar scripts web arbitrários em páginas que são executados quando um usuário as acessa. O problema reside no parâmetro `iq tree chart node font family` e em qualquer controle de texto serializado em `chart data['settings']`. A falha persiste porque a função `Utils::kses post deep()` não remove payloads que contenham apenas aspas simples e fragmentos de manipuladores de eventos, pois estes não contêm tags HTML proibidas.

Atacantes autenticados com nível de acesso de assinante ou superior podem extrair o endereço de e-mail e o número de telefone de qualquer usuário do WordPress, incluindo administradores. Isso ocorre ao fornecer o `id` de um usuário alvo em um parâmetro de query-string enquanto coloca o próprio `id` do atacante no caminho da URL.

A sanitização de entrada e a escape de saída insuficientes permitem que atacantes autenticados com nível de acesso de assinante ou superior realizem Stored Cross-Site Scripting (XSS). Isso ocorre quando scripts web arbitrários são injetados através do parâmetro `wp users.display name` no endpoint REST de usuários. O payload é armazenado usando o endpoint REST do núcleo do WordPress 'POST /wp-json/wp/v2/users/me', que ignora o sanitizador `wpum sanitize text` utilizado no formulário de conta do front-end. Esses scripts são executados sempre que um usuário acessa uma página que contenha o conteúdo injetado.

A sanitização de entrada e a filtragem de saída insuficientes permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente no servidor alvo. O problema ocorre através do parâmetro `vars` e requer que o site alvo possua uma página ou postagem publicada contendo o shortcode [meta data filter results]. Quando um usuário acessa a página afetada, os scripts injetados são executados em seu navegador.

Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes autenticados com nível de acesso de assinante ou superior podem iniciar importações de vídeo não autorizadas usando as credenciais da API Infomaniak do proprietário do site, consumindo a cota da conta VOD. Além disso, os atacantes podem inserir linhas arbitrárias na tabela `wp vod upload`, fazendo com que shortcodes públicos resolvam para conteúdo de vídeo escolhido pelo atacante. Isso ocorre porque o manipulador AJAX omite a aplicação de direitos de função, que deveriam restringir essa ação a usuários de nível Contribuidor ou superior.

A sanitização insuficiente de entrada e a escape de saída inadequada permitem que atacantes autenticados com nível de acesso de contribuidor ou superior realizem Stored Cross-Site Scripting. Ao manipular o parâmetro `date format`, um atacante pode injetar scripts web arbitrários em páginas. O ataque ignora a função `wp kses post` durante o processo de salvamento porque a carga útil evita o uso de caracteres de colchetes angulares literais, reconstruindo as tags HTML maliciosas apenas durante a renderização. Isso permite que usuários sem a capacidade `unfiltered html` executem scripts quando outros usuários acessam a página afetada.

A sanitização de entrada e a escape de saída insuficientes permitem que atacantes autenticados com nível de acesso de autor ou superior realizem Stored Cross-Site Scripting (XSS). Um atacante pode enviar um payload HTML ou JavaScript codificado em percentual através do parâmetro `slug` via REST API. Este payload é armazenado e executado posteriormente na sessão do navegador de um administrador quando a página de administração do URI Editor é acessada.

Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes autenticados com nível de acesso de colaborador ou superior podem injetar scripts web arbitrários através do parâmetro `badge`. Esses scripts são executados quando um usuário acessa a página afetada, visando especificamente usuários com privilégios mais altos, como editores e administradores, que visualizam postagens pendentes contendo o shortcode malicioso.

Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes autenticados com nível de acesso de contribuidor ou superior podem visualizar credenciais de gateway de pagamento do WooCommerce armazenadas, como nome de usuário, senha e assinatura da API do PayPal, bem como chaves secretas de teste e produção do Stripe. Essas credenciais são injetadas diretamente na resposta HTML da tela de edição de tour e podem ser acessadas por meio da resposta HTTP bruta ao visualizar o código-fonte da página, independentemente do estado de visibilidade do CSS do modal.

Atacantes autenticados com acesso de nível de administrador ou superior podem realizar uma Injeção de SQL baseada em tempo. Isso ocorre devido à escape insuficiente da entrada fornecida pelo usuário e à falta de preparação adequada da consulta SQL. Ao manipular o parâmetro `params[searchKey]`, um invasor pode anexar consultas SQL adicionais para extrair informações sensíveis do banco de dados.

Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes do atributo `theme` no bloco Gutenberg de calendário. O valor deste atributo é concatenado diretamente em um atributo de classe HTML na função `printCalendar()` sem o uso de `esc attr()`. Isso permite que atacantes autenticados com nível de acesso de Colaborador ou superior injetem scripts web arbitrários em páginas, que são executados quando um usuário visita a página afetada.