Dmitry Ignatyev

The SureForms – Contact Form, Payment Form & Other Custom Form Builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'headingWrapper' parameter in all versions up to, and including, 2.8.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

**Nome do Software Vulnerável e Versões Afetadas** Yoast SEO versões anteriores a 28.1 **Descrição** Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes. Atacantes autenticados com nível de acesso de autor ou superior podem injetar scripts web arbitrários em páginas. Esses scripts são executados sempre que um usuário acessa a página afetada. A exploração requer que os links permanentes (pretty permalinks) estejam habilitados, pois depende da função `get permalink()` incorporando a variável `post name` codificada em percentual na URL gerada. **Recomendações** Atualize para uma versão posterior à 28.0.

The Ultimate Before After Image Slider & Gallery WordPress plugin before 4.7.1 does not escape the value of the BEAF Slider widget's shortcode field before outputting it on the front end (the value is passed through do shortcode, which echoes non-shortcode content verbatim), allowing users with administrator-level access to store a script that executes in the browser of any visitor who loads a page displaying the widget.

**Nome do Software Vulnerável e Versões Afetadas** PDF Invoices & Packing Slips for WooCommerce versões anteriores a 5.14.1 **Description** Existe uma Referência Direta Insegura a Objetos (IDOR) na função `generate document shortcode` devido à falta de validação em uma chave controlada pelo usuário. Atacantes autenticados com nível de acesso de contribuidor ou superior podem gerar links de download publicamente acessíveis e isentos de sessão para pedidos arbitrários de terceiros. Isso leva à exposição de dados sensíveis, incluindo nomes de clientes, endereços de cobrança e envio, endereços de e-mail, números de telefone, números de pedido e fatura, itens de linha, totais, detalhes de pagamento e notas do cliente. Este problema é explorável quando a configuração de tipo de acesso ao link do documento está definida como 'full'; se definida para o valor padrão 'logged in', o caminho do shortcode não é explorável para acesso não autorizado, pois as URLs são assinadas com um nonce por sessão. **Recommendations** Atualize para uma versão posterior à 5.14.0. Altere a configuração de tipo de acesso ao link do documento de 'full' para 'logged in' para evitar o acesso não autorizado aos documentos de pedidos.

**Nome do Software Vulnerável e Versões Afetadas** Essential Addons for Elementor versões anteriores a 6.6.3 **Descrição** Ocorre Cross-Site Scripting (XSS) Armazenado no widget Event Calendar devido à sanitização de entrada e escape de saída insuficientes em títulos de eventos originados do The Events Calendar. Isso permite que atacantes autenticados com nível de acesso de Autor ou superior injetem scripts web arbitrários em páginas, que são executados quando um usuário visita a página afetada. **Recomendações** Atualize para uma versão posterior a 6.6.2. Restrinja o acesso ao widget Event Calendar para usuários com permissões de Autor até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** Exclusive Addons for Elementor versões anteriores a 2.7.9.9 **Descrição** A sanitização de entrada e a escape de saída insuficientes permitem que atacantes autenticados com nível de acesso de Colaborador ou superior realizem Stored Cross-Site Scripting. Isso é feito injetando scripts web arbitrários através do parâmetro `post title`, que são executados sempre que um usuário acessa a página afetada. **Recomendações** Atualize o Exclusive Addons for Elementor para a versão 2.7.9.9 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** Email Subscribers & Newsletters – Email Marketing, Post Notifications & Newsletter Plugin for WordPress versões anteriores a 5.9.28 **Descrição** Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes autenticados com nível de acesso de contribuidor ou superior podem explorar isso através da ação AJAX `ig es handle request`. Isso permite que eles sobrescrevam as configurações de e-mail, como o nome e o endereço de e-mail do remetente, criem listas de público, insiram contatos arbitrários nessas listas, criem e sobrescrevam transmissões de newsletter e notificações de postagem, adicionem fluxos de trabalho e enfileirem e enviem e-mails em massa para destinatários arbitrários. **Recomendações** Atualize o plugin para uma versão posterior à 5.9.27.

**Nome do Software Vulnerável e Versões Afetadas** Image Optimizer versões anteriores a 1.7.5 **Description** Existe um problema onde a validação insuficiente de caminho na função `Image Backup::remove()` permite a exclusão arbitrária de arquivos. O plugin armazena caminhos de arquivos de backup no campo de meta post `image optimizer metadata` e confia nesses caminhos ao executar o hook `delete attachment`. Um invasor autenticado com nível de acesso de Autor pode modificar o campo `image optimizer metadata` através da interface de Campos Personalizados para injetar caminhos absolutos de arquivos. Quando o anexo é excluído, o plugin invoca `File System::delete()` nos caminhos especificados sem verificação, permitindo a exclusão de qualquer arquivo dentro das permissões do sistema de arquivos do servidor web. Isso pode resultar em perda de dados, degradação da segurança ou negação de serviço. **Recommendations** Atualize para uma versão posterior à 1.7.4. Como mitigação temporária, restrinja usuários de nível de Autor de acessar a interface de Campos Personalizados para evitar a modificação do campo `image optimizer metadata`.

**Nome do Software Vulnerável e Versões Afetadas** Qi Blocks versões anteriores a 1.5.0 **Description** Ocorre uma Referência Direta a Objeto Insegura quando o plugin falha ao validar uma chave controlada pelo usuário. Atacantes autenticados com acesso de nível de autor ou superior podem explorar isso para modificar estilos armazenados de postagens, modelos ou widgets que não lhes pertencem. Ao usar valores reservados para o parâmetro `page id`, os atacantes podem afetar superfícies de todo o site, resultando em desfiguração não autorizada do frontend, ocultação de conteúdo e degradação de páginas. O problema existe porque a verificação de permissão do endpoint verifica apenas as capacidades genéricas `edit posts` e `publish posts`, sem confirmar a propriedade da postagem. **Recommendations** Atualize o Qi Blocks para a versão 1.5.0 ou posterior. Restrinja o uso do parâmetro `page id` para usuários com acesso de nível de autor até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** MaxButtons – Create buttons plugin for WordPress versões anteriores a 9.8.6 **Description** Ocorre Cross-Site Scripting Refletido devido à sanitização de entrada e escape de saída insuficientes. Isso permite que atacantes não autenticados injetem scripts web arbitrários em páginas ao enganar um usuário para clicar em um link malicioso. O problema é acionado através do parâmetro `view`. **Recommendations** Atualize o plugin para a versão 9.8.6 ou posterior. Como mitigação temporária, restrinja ou monitore o uso do parâmetro `view`.

**Nome do Software Vulnerável e Versões Afetadas** WooCommerce Stripe Payment Gateway versões anteriores a 10.7.1 **Descrição** O plugin está sujeito à modificação não autorizada de dados porque a função `ajax pay for order()` carece de uma verificação de capacidade. Especificamente, o endpoint WC-AJAX `wc stripe pay for order` não verifica a propriedade do pedido ou a `order key` ao processar pagamentos. Embora a função valide um nonce, este valor está publicamente acessível em qualquer página do WooCommerce onde o Express Checkout esteja habilitado. Consequentemente, invasores não autenticados podem usar a enumeração sequencial de IDs de pedidos e um método de pagamento falso para disparar uma exceção de pagamento, forçando pedidos pendentes para o status de falha. **Recomendações** Atualize para uma versão posterior a 10.7.0. Como medida paliativa temporária, restrinja o acesso ao endpoint WC-AJAX `wc stripe pay for order` ou desabilite a função `ajax pay for order()` até que a atualização seja aplicada.

**Nome do Software Vulnerável e Versões Afetadas** FooGallery versões anteriores a 3.1.32 **Description** O plugin FooGallery para WordPress contém um problema de Cross-Site Scripting (XSS) Armazenado. Isso ocorre porque a função `foogallery sanitize javascript()` utiliza uma lista negra incompleta de manipuladores de eventos JavaScript, bloqueando apenas um subconjunto específico (onmouseover, onmouseout, onpointerenter, onclick, onload, onchange, onerror) enquanto permite outros como `onmouseenter`. Além disso, a função `foogallery build container attributes safe()` falha ao escapar a chave do atributo ao construir o HTML do contêiner da galeria. Atacantes autenticados com nível de acesso de contribuidor ou superior podem explorar o parâmetro de shortcode `custom attribute key` para injetar scripts web arbitrários que são executados quando um usuário visita a página afetada. **Recommendations** Atualize para uma versão posterior a 3.1.31. Como medida paliativa temporária, restrinja o uso do parâmetro de shortcode `custom attribute key` por usuários com nível de acesso de contribuidor.

**Nome do Software Vulnerável e Versões Afetadas** Presto Player versões anteriores a 4.2.1 **Description** O plugin Presto Player para WordPress contém um problema de Stored Cross-Site Scripting. A função `getOverlays()` não sanitiza adequadamente a entrada nem escapa a saída, permitindo que o parâmetro `link url` do shortcode `[presto player overlay]` seja copiado diretamente para a configuração de sobreposição sem validação de esquema. Isso permite que URIs `javascript:` sejam renderizadas como o href de um elemento âncora clicável pelo componente web presto-dynamic-overlay-ui. Atacantes autenticados com nível de acesso de contribuidor ou superior podem injetar scripts web arbitrários que são executados quando um usuário visita a página afetada. **Recommendations** Atualize para uma versão posterior a 4.2.0. Como medida paliativa temporária, restrinja o uso do parâmetro `link url` dentro do shortcode `[presto player overlay]`.

**Nome do Software Vulnerável e Versões Afetadas** All-In-One Security (AIOS) – Security and Firewall plugin for WordPress versões anteriores a 5.4.8 **Description** Ocorre Cross-Site Scripting (XSS) Armazenado devido à sanitização insuficiente de entrada na função `get rest route()` e à falta de escape de saída no método `column default()` da tabela de lista de logs de depuração. Quando o recurso 'Disable REST API for non-logged in users' (`aiowps disallow unauthorized rest requests`) e o log de depuração (`aiowps enable debug`) estão ambos ativados, um invasor não autenticado pode incorporar HTML ou JavaScript arbitrário no caminho da requisição REST. O caminho é recuperado via `urldecode($ SERVER['REQUEST URI'])`, que decodifica payloads em caracteres HTML literais. Este valor não sanitizado é armazenado no banco de dados e posteriormente executado na sessão do navegador de um administrador quando este visualiza a página de Logs de Depuração do Painel AIOS. Isso pode levar ao roubo de nonces, ações AJAX/REST privilegiadas e comprometimento total do site. **Recommendations** Atualize o plugin para uma versão posterior a 5.4.7. Como medida paliativa temporária, desative o log de depuração `aiowps enable debug` ou o recurso `aiowps disallow unauthorized rest requests` para evitar o armazenamento e a execução de scripts maliciosos.

The PDF Embedder plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 4.9.3 via the enqueue block assets. This makes it possible for authenticated attackers, with contributor-level access and above, to extract configuration data. License key exposure occurs when the premium add-on is also installed and has saved a key; on Lite-only installations, the exposed data is limited to non-sensitive viewer configuration values such as width, height, toolbar settings, usage tracking, and plan.

The Easy Updates Manager plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via the 'paged' parameter in versions up to, and including, 9.0.20 This is due to insufficient input sanitization and output escaping in the pagination() function. This makes it possible for attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page granted they can trick an administrator into performing an action such as clicking on a link.

**Nome do Software Vulnerável e Versões Afetadas** WooCommerce PayPal Payments versões anteriores a 4.0.2 **Descrição** A ausência de verificações de autorização nos endpoints WC-AJAX 'ppc-create-order' e 'ppc-get-order' permite a manipulação não autorizada de pedidos e a divulgação de informações. O endpoint 'ppc-create-order' aceita um ID de pedido do WooCommerce arbitrário através do contexto `pay-now` sem validar a propriedade do pedido, permitindo que atacantes criem pedidos no PayPal para qualquer pedido do WooCommerce e escrevam metadados do PayPal nele. Além disso, o endpoint 'ppc-get-order' retorna detalhes completos do pedido do PayPal para qualquer ID de pedido do PayPal sem vinculação à sessão do solicitante. Atacantes não autenticados podem encadear esses endpoints para manipular fluxos de pagamento de outros clientes e exfiltrar dados sensíveis, incluindo informações do pagador e dados de envio. **Recomendações** Atualize para uma versão posterior à 4.0.1. Como medida paliativa temporária, restrinja o acesso aos endpoints 'ppc-create-order' e 'ppc-get-order' para minimizar o risco de exploração.

**Nome do Software Vulnerável e Versões Afetadas** Creative Mail – Easier WordPress & WooCommerce Email Marketing versões anteriores a 1.7.0 **Description** Um invasor não autenticado pode realizar uma injeção de SQL cega (blind SQL injection), que é uma técnica usada para extrair dados de um banco de dados fazendo perguntas de verdadeiro ou falso ao servidor. O problema ocorre devido à escape insuficiente do parâmetro `checkout uuid` fornecido pelo usuário e à falta de preparação adequada da consulta SQL dentro da função `has checkout consent()`. Isso permite que o invasor anexe consultas SQL adicionais para extrair informações sensíveis, como hashes de administradores e tokens secretos. A exploração completa requer que o WooCommerce esteja instalado. Mais de 300.000 usuários estão potencialmente afetados. **Recommendations** Atualize o plugin para uma versão posterior à 1.6.9. Como medida paliativa temporária, desative o plugin se o WooCommerce também estiver instalado.

The MapGeo – Interactive Geo Maps plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via the 'map' parameter in the display-map shortcode in all versions up to, and including, 1.6.27 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link.

**Nome do Software Vulnerável e Versões Afetadas** Hostinger Reach – AI-Powered Email Marketing for WordPress versões anteriores a 1.3.9 **Descrição** O plugin Hostinger Reach – AI-Powered Email Marketing for WordPress permite a modificação não autorizada de dados porque a função `handle ajax action()` carece de uma verificação de capacidade. Usuários autenticados com nível de acesso Assinante (Subscriber) ou superior podem utilizar a ação 'hostinger reach connection notice action' para atualizar a chave de API armazenada no banco de dados. Este problema pode ser explorado apenas se o plugin não estiver conectado a um site e nenhuma chave de API existir no banco de dados. **Recomendações** Atualize para uma versão posterior a 1.3.8.