Youcef Hamdani

O plug-in Cincopa video and media para WordPress contém um problema de Cross-Site Scripting Armazenado. Isso ocorre porque o plug-in processa o shortcode `[cincopa]` por meio de um hook de filtro `comment text` sem a sanitização de entrada e a escape de saída suficientes. Consequentemente, invasores não autenticados podem injetar scripts web arbitrários por meio de comentários em postagens que serão executados quando um usuário acessar a página afetada.

O plugin Email JavaScript Cloak para WordPress contém um problema de Cross-Site Scripting (XSS) Armazenado. Isso ocorre devido à sanitização de entrada e escape de saída insuficientes em atributos fornecidos pelo usuário no shortcode 'email'. Atacantes autenticados com nível de acesso de contribuidor ou superior podem injetar scripts web arbitrários em páginas, que são executados quando um usuário visita a página afetada.

O plugin FV Flowplayer Video Player para WordPress contém um problema de Cross-Site Scripting (XSS) Armazenado causado por sanitização de entrada e escape de saída insuficientes no texto dos comentários. Isso permite que atacantes não autenticados injetem scripts web arbitrários em páginas, que são executados quando um usuário visita a página afetada. A exploração bem-sucedida depende de o administrador ter habilitado a configuração `parse comments` (Parse Vimeo and YouTube links), que não é o padrão, e requer que um comentário enviado seja aprovado por um administrador antes que o payload seja entregue.

O plugin contém um problema de Stored Cross-Site Scripting causado por um erro de regex no método ` filter videos()` e saída não escapada no template `admin/views/form-data.php`. Um invasor autenticado com nível de acesso de Colaborador pode inserir uma tag `<video>` manipulada com um atributo `src` contendo a substring `class="`. Isso engana o regex de substituição de classe, fazendo com que ele consuma uma aspa de fechamento de valor de atributo, deslocando o limite de aspas do parser HTML5 e permitindo que texto controlado pelo invasor seja executado como atributos de manipulador de eventos independentes, como `autofocus` e `onfocus`. O script injetado é então executado no navegador de qualquer usuário, incluindo administradores, que visualizar a postagem.

O plugin está sujeito a Reflected Cross-Site Scripting, uma falha onde uma aplicação inclui dados não confiáveis em uma página web sem a devida validação, permitindo que invasores executem scripts no navegador da vítima. O problema existe na função `render shortcode preview()`, que processa o parâmetro `shortcode` da requisição `$ GET`. A função utiliza `stripslashes()`, mas falha em realizar a sanitização de entrada ou a escape de saída suficientes antes de passar os dados para `do shortcode()`. Se a entrada não for um shortcode válido do WordPress, ela é refletida diretamente na página. Isso requer que o invasor esteja autenticado com, no mínimo, uma conta de nível Subscriber, pois o endpoint é registrado via `admin post ` e carece de verificação de nonce ou verificações de capacidade.

O plugin Taqnix para WordPress é suscetível a Cross-Site Request Forgery (CSRF), uma falha onde um invasor engana um usuário para realizar ações que ele não pretendia. Isso ocorre devido à falta de verificação de nonce na função `taqnix delete my account()`, especificamente onde a chamada `check ajax referer()` está comentada. Atacantes não autenticados podem explorar isso para forçar usuários não administradores logados a excluírem suas próprias contas, induzindo-os a clicar em um link malicioso ou visitar uma página comprometida.

O plugin Create DB Tables para WordPress contém um bypass de autorização. O plugin registra hooks de ação admin post para criar tabelas ('admin post add table') e excluir tabelas ('admin post delete db table') sem implementar verificações de capacidade ou verificação de nonce. Consequentemente, qualquer usuário autenticado, incluindo aqueles com nível de acesso de Assinante, pode acessar esses endpoints. A função `cdbt delete db table()` processa um nome de tabela fornecido pelo usuário através da variável `db table` e executa uma consulta SQL DROP TABLE, o que permite a exclusão de qualquer tabela do banco de dados, incluindo tabelas críticas do núcleo do WordPress. Da mesma forma, a função `cdbt create new table()` permite a criação de tabelas de banco de dados arbitrárias.

O plugin está sujeito a Cross-Site Request Forgery, uma falha na qual um invasor engana a vítima para realizar ações que ela não pretendia. Isso ocorre porque a função `ajax revoke token()`, que processa a ação AJAX 'petjeaf disconnect', não implementa a validação de nonce. Um nonce é um token exclusivo usado para garantir que uma solicitação foi enviada intencionalmente pelo usuário. Consequentemente, invasores não autenticados podem forçar usuários autenticados a revogar tokens OAuth2, excluir meta-dados do usuário e excluir contas de usuário do WordPress para aqueles com a função `petjeaf member` ao induzi-los a clicar em um link malicioso ou visitar um site comprometido.

Name of the Vulnerable Software and Affected Versions Plugin PZ Frontend Manager para WordPress versões até e incluindo 1.0.6 Description O plugin PZ Frontend Manager para WordPress está sujeito a um problema de autorização ausente. A função `pzfm user request action callback()`, acessível através do endpoint AJAX `wp ajax pzfm user request action`, não executa verificações de capacidade ou de nonce adequadas. Esta função gerencia a ativação, desativação e exclusão de usuários. Especificamente, quando o parâmetro `dataType` é definido como 'delete', a função chama `wp delete user()` nos IDs de usuário fornecidos sem verificar permissões suficientes. Isso permite que invasores autenticados com acesso de nível de Assinante ou superior excluam usuários arbitrários do WordPress, incluindo administradores, enviando uma solicitação criada para o endpoint ''wp ajax pzfm user request action''. Recommendations Para versões até e incluindo 1.0.6, atualize para uma versão mais recente que resolva este problema de autorização.

Name of the Vulnerable Software and Affected Versions WP Blockade plugin for WordPress versões até e incluindo 0.9.14 Description O plugin WP Blockade para WordPress é suscetível a um problema de autorização ausente. O plugin registra um hook de ação admin post 'wp-blockade-shortcode-render' que mapeia para a função `render shortcode preview()`. Esta função não executa verificações de capacidade ou verificação de nonce, permitindo que usuários autenticados executem shortcodes WordPress arbitrários. A função recupera um parâmetro `shortcode` fornecido pelo usuário da solicitação $ GET, processa-o com stripslashes() e o executa diretamente usando do shortcode(). Isso permite que invasores autenticados com acesso de nível de Assinante ou superior executem shortcodes arbitrários, potencialmente levando à divulgação de informações, escalada de privilégios ou outros impactos, dependendo dos shortcodes registrados no site. Recommendations Versões até e incluindo 0.9.14: Atualize para uma versão superior a 0.9.14.

The Sherk Custom Post Type Displays plugin for WordPress is susceptible to Stored Cross-Site Scripting through the 'title' shortcode attribute. This is a result of inadequate input sanitization and output escaping on the 'title' attribute of the 'sherkcptdisplays' shortcode. The `sherkcptdisplays func()` function in includes/SherkCPTDisplaysShortcode.php extracts the 'title' attribute value from shortcode atts() on line 19 and directly incorporates it into an HTML <h2> tag on line 31 without proper escaping. This allows authenticated attackers with Contributor-level access or higher to inject arbitrary web scripts into pages, which will execute when a user accesses the affected page.

The Task Manager plugin for WordPress is susceptible to an issue allowing unauthorized access to files. Attackers with Subscriber-level access or higher can potentially read the contents of arbitrary files on the server through the `callback get text from url()` function. This could expose sensitive information.

The WPFAQBlock– FAQ & Accordion Plugin For Gutenberg plugin for WordPress has a stored cross-site scripting issue. The issue is due to insufficient input sanitization and output escaping on user-supplied attributes in the `class` parameter of the `wpfaqblock` shortcode. Authenticated attackers with Contributor-level access or higher can inject arbitrary web scripts into pages. These scripts will execute when a user accesses the injected page.

The Task Manager plugin for WordPress is susceptible to arbitrary shortcode execution through the 'search' AJAX action. This occurs because of missing capability checks within the `callback search()` function and inadequate input validation. Specifically, shortcode syntax can bypass `sanitize text field()` and is then incorporated into a `do shortcode()` call. This allows authenticated attackers with Subscriber-level access or higher to execute arbitrary shortcodes on the site by injecting shortcode syntax into parameters such as `task id`, `point id`, `categories id`, or `term`. The vulnerable API endpoint is '/wp-admin/admin-ajax.php'.

The Outgrow plugin for WordPress is susceptible to Stored Cross-Site Scripting through the 'id' attribute of the 'outgrow' shortcode. This is a result of inadequate input sanitization and output escaping of user-supplied attributes. Authenticated attackers with contributor-level access or higher can inject arbitrary web scripts into pages. These scripts will execute when a user accesses the affected page.

The WordPress Content Syndication Toolkit plugin is susceptible to a Server-Side Request Forgery issue. The plugin registers an unauthenticated proxy endpoint, ''wp ajax nopriv redux p'', which accepts a URL from the `url` GET parameter without validation. This parameter is passed to `wp remote request()`, lacking built-in SSRF protection. The absence of authentication checks, nonce verification, and URL restrictions allows attackers to make web requests to arbitrary locations from the web application, potentially enabling access to internal services, network scanning, and interaction with cloud metadata endpoints.

The Instant Popup Builder plugin for WordPress is susceptible to Unauthenticated Arbitrary Shortcode Execution. This occurs because the `handle email verification page()` function creates a shortcode string from user-provided `token` and `email` GET parameters and passes it to `do shortcode()` without sufficient sanitization of square bracket characters, and lacks authorization checks. The `sanitize text field()` and `esc attr()` functions do not remove or escape square bracket characters. A malicious `token` value containing a ']' character can prematurely close a shortcode tag, allowing unauthenticated attackers to inject and execute arbitrary registered shortcodes.

O plugin ZoomifyWP Free para WordPress apresenta um problema de Cross-Site Scripting Armazenado. Isso ocorre devido à sanitização insuficiente de entrada e escape insuficiente de saída em atributos fornecidos pelo usuário. Especificamente, o parâmetro 'filename' do shortcode 'zoomify' é afetado. Atacantes autenticados com nível de acesso de Colaborador ou superior podem injetar scripts web arbitrários em páginas. Esses scripts serão executados quando um usuário acessar a página injetada.

O plugin Bold Page Builder para WordPress é suscetível a Cross-Site Scripting Armazenado por meio do shortcode `bt bb accordion item`. Isso ocorre devido à sanitização inadequada de entradas e ao escape inadequado de saída dos atributos fornecidos pelo usuário. Atacantes autenticados com acesso de nível contribuidor ou superior podem injetar scripts web arbitrários em páginas. Esses scripts serão executados quando um usuário acessar a página afetada.

O plugin Buy Now Plus – Buy Now buttons for Stripe para WordPress é suscetível a Cross-Site Scripting Armazenado por meio do shortcode `buynowplus`. A sanitização insuficiente de entradas e o escape inadequado de saída nos atributos do shortcode permitem que atacantes autenticados com nível de acesso Contribuinte ou superior injetem scripts web arbitrários em páginas. Esses scripts serão executados quando um usuário acessar a página injetada.