Aaron

The WP Remote Users Sync WordPress plugin before 2.2.1 does not have authorisation and CSRF checks in one of its AJAX actions, allowing any authenticated user, such as a subscriber, to delete the WP Remote Users Sync WordPress plugin before 2.2.1's entire activity log.

تؤدي عمليات التحقق غير الكافية من رؤية المحتوى المشار إليه بواسطة الرموز المختصرة (shortcodes) إلى السماح للمستخدمين المصرح لهم والذين يمتلكون أدوار مساهم (Contributor) أو أعلى بالكشف عن عناوين وأوصاف المنشورات الخاصة والمسودات والمنشورات الأخرى غير العامة. يحدث هذا بسبب فقدان التحقق من الصلاحيات في إحدى الدوال.

The issue allows remote attackers to conduct man-in-the-middle (MITM) attacks by spoofing servers due to inadequate validation of SSL certificates when the If-SSL-Cert-Subject header is not set. This occurs because the Net::HTTPS module does not enable full validation of SSL certificates by default in such environments.