Incognito

تنشأ المشكلة بسبب عدم وجود فحص للأذونات في الدالة ` submit uninstall reason action()`، مما يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» أو أعلى بإرسال سبب إلغاء الاشتراك نيابة عن موقع ما. وهذا يتيح إرسال البيانات دون إذن.

تعود المشكلة إلى عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجود خطأ فيه في الدالة `dpfl listingStatusChange()`، مما يتيح للمهاجمين غير المصادق عليهم تحديث حالة القوائم عبر طلب مزور. وقد يحدث ذلك إذا تمكن المهاجم من حث مسؤول الموقع على القيام بإجراء ما، مثل النقر على رابط.

تتعلق المشكلة بعدم التحقق من الصلاحيات في الدالة `reorder route()`، مما يسمح للمهاجمين غير المصادق عليهم بتعديل البيانات عند إعادة ترتيب المنشورات.

تتعلق المشكلة بفقدان فحص الصلاحيات في إجراء AJAX ”clear ecpay debug log“. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى ”المشترك“ أو أعلى بمسح ملفات سجل المكون الإضافي، مما يؤدي إلى فقدان غير مصرح به للبيانات.

تسمح هذه الثغرة بتعديل البيانات دون إذن بسبب عدم وجود فحص للأذونات في الدالة `wooh action settings save frontend()`. وهذا يتيح للمهاجمين غير المصادق عليهم تحديث إعدادات محددة في المكون الإضافي.

The issue arises from a missing capability check on the `cancel import()` function, allowing authenticated attackers with Subscriber-level access and above to cancel and import or check on the status. This enables unauthorized access.

The issue is related to a missing capability check on the `removeorder` AJAX action, allowing authenticated attackers with Subscriber-level access and above to delete orders. This makes it possible for attackers to modify data without proper authorization.

The issue arises from a missing capability check on the `buy one click export options` AJAX action, allowing authenticated attackers with Subscriber-level access and above to export plugin settings. This results in unauthorized access of data.

The issue is related to a missing capability check on the `buy one click import options` AJAX action, allowing authenticated attackers with Subscriber-level access and above to import plugin settings, thus enabling unauthorized modification of data.

The issue is related to a missing capability check on the `remove unused thumbnails()` function, allowing unauthenticated attackers to delete thumbnails in the `video-wc-gallery-thumb` directory. This enables unauthorized modification of data.

The issue is related to a missing capability check on the `wprss ajax send premium support` function, allowing authenticated attackers with Subscriber-level access and above to send premium support requests with controlled subject lines and email addresses, potentially impersonating the site owner. This could also lead to the leakage of license information.