Stefan Spasic

The ElementsReady Addons for Elementor WordPress plugin through 6.7.2 does not perform authorization checks that halt execution in several of its settings-save handlers, allowing users with subscriber-level access and above to overwrite the ElementsReady Addons for Elementor WordPress plugin through 6.7.2's stored settings, including its stored API credentials and its feature and template configuration.

**Name of the Vulnerable Software and Affected Versions** The Wallet System for WooCommerce WordPress plugin versions prior to 2.8.0 **Description** The plugin fails to verify if the user initiating a wallet transfer is the actual owner of the wallet being debited. This allows any authenticated user, including those with the Subscriber role, to transfer funds from any other user's wallet, including administrators, into an account they control. **Recommendations** Update the plugin to version 2.8.0 or later.

**Name of the Vulnerable Software and Affected Versions** Hydra Booking — Appointment Scheduling & Booking Calendar versions prior to 1.2.4 **Description** The plugin fails to perform object-level authorization checks on several host-management operations. This allows users assigned to a specific custom administrator role to read, modify, and permanently delete records belonging to other hosts, as well as the WordPress user accounts associated with them. **Recommendations** Update the plugin to version 1.2.4 or later.

**اسم البرنامج المعرض للخطر والإصدارات المتأثرة** إصدارات المكون الإضافي Academy LMS لـ WordPress الأقدم من 3.8.3 **الوصف** تسمح مشكلة تتعلق بالتحكم غير السليم في الوصول لأي مستخدم تمت مصادقته ولديه صلاحية وصول على مستوى المشترك أو أعلى، ومسجل في دورة تدريبية واحدة على الأقل، بالوصول إلى سجلات محاولات الاختبارات الخاصة بمستخدمين آخرين. وهذا يسمح بالقراءة غير المصرح بها للبيانات الشخصية عبر الموقع بأكمله، بما في ذلك الأسماء وعناوين IP وتواريخ التسجيل ونتائج الاختبارات. **التوصيات** تحديث المكون الإضافي Academy LMS لـ WordPress إلى الإصدار 3.8.3 أو أحدث.