Dyingman

يوجد ثغرة في عملية تجاوز التفويض لأن المكون الإضافي يفشل في التحقق بشكل صحيح مما إذا كان المستخدم مخولًا بتنفيذ إجراءات محددة. يمكن للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى المشترك أو أعلى منح أنفسهم أي فئة عضوية مميزة دون إتمام معاملة عبر PayPal. وهذا يسمح بإنشاء إيصال دفع نشط مزور ويوفر وصولاً غير مصرح به إلى حصص قوائم العقارات المقيدة.

يمكن للمستخدمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى ”المشترك“ وما فوقه إجراء تعديلات غير مصرح بها وإنشاء وحذف مجموعات مواصفات المنتجات وخصائصها. يحدث هذا لأن طرق ` invoke()` داخل فئتي `AttributeGroupController` و`AttributeController` تفتقر إلى فحوصات الصلاحيات والتحقق من الرقم العشوائي (nonce). ترتبط هذه الطرق بإجراءات AJAX ’dwps modify groups‘ و'dwps modify attributes'. يتيح استغلال هذه الثغرة للمهاجمين التلاعب بمصطلحات التصنيف في تصنيفات `spec-group` وسمات المنتج، مما قد يؤدي إلى إتلاف البيانات التجارية والتأثير على العرض الأمامي للموقع.