Tptnhan

تنشأ المشكلة بسبب عدم وجود فحص للأذونات في الدالة ` submit uninstall reason action()`، مما يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى «المشترك» أو أعلى بإرسال سبب إلغاء الاشتراك نيابة عن موقع ما. وهذا يتيح إرسال البيانات دون إذن.

تعود المشكلة إلى عدم وجود التحقق من صحة الرقم العشوائي (nonce) أو وجود خطأ فيه في الدالة `dpfl listingStatusChange()`، مما يتيح للمهاجمين غير المصادق عليهم تحديث حالة القوائم عبر طلب مزور. وقد يحدث ذلك إذا تمكن المهاجم من حث مسؤول الموقع على القيام بإجراء ما، مثل النقر على رابط.

تتعلق المشكلة بعدم التحقق من الصلاحيات في الدالة `reorder route()`، مما يسمح للمهاجمين غير المصادق عليهم بتعديل البيانات عند إعادة ترتيب المنشورات.

تتعلق المشكلة بفقدان فحص الصلاحيات في إجراء AJAX ”clear ecpay debug log“. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بوصول على مستوى ”المشترك“ أو أعلى بمسح ملفات سجل المكون الإضافي، مما يؤدي إلى فقدان غير مصرح به للبيانات.

تسمح هذه الثغرة بتعديل البيانات دون إذن بسبب عدم وجود فحص للأذونات في الدالة `wooh action settings save frontend()`. وهذا يتيح للمهاجمين غير المصادق عليهم تحديث إعدادات محددة في المكون الإضافي.

تسمح هذه الثغرة للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المشترك» أو أعلى بتعديل إعدادات المكون الإضافي أو إعادة تعيين عناصر واجهة المستخدم الخاصة به إلى حالتها الافتراضية. ويحدث ذلك بسبب عدم وجود فحص للصلاحيات في الدالتين `save options` و`reset widgets`.

تتمثل المشكلة في ثغرة أمنية من نوع «التنفيذ البرمجي عبر المواقع» (XSS) المخزّن، ناتجة عن عدم كفاية عملية تنقية المدخلات وتهريب المخرجات في الدالة `rfbwp save settings()`. وهذا يسمح للمهاجمين المصادق عليهم الذين يتمتعون بحق الوصول على مستوى «المشترك» أو أعلى، بحقن نصوص برمجية ويب تعسفية في الصفحات، والتي سيتم تنفيذها كلما قام مستخدم بالوصول إلى إحدى الصفحات التي تم حقنها.

The issue is related to unauthorized access of data due to a missing capability check on the `get layouts()` function. This allows authenticated attackers, with Subscriber-level access and above, to obtain a detailed listing of layout templates.

The issue is related to unauthorized modification of data due to a missing capability check on the `import mpfe template()` function. This allows authenticated attackers with Subscriber-level access and above to import templates.

The issue is related to unauthorized use of functionality due to a missing capability check on several AJAX actions. This allows authenticated attackers with Subscriber-level access and above to access logs, update plugin-related user settings, and general plugin settings.

The issue arises from a missing capability check on the `cancel import()` function, allowing authenticated attackers with Subscriber-level access and above to cancel and import or check on the status. This enables unauthorized access.

The issue is related to a missing capability check on the `removeorder` AJAX action, allowing authenticated attackers with Subscriber-level access and above to delete orders. This makes it possible for attackers to modify data without proper authorization.

The issue arises from a missing capability check on the `buy one click export options` AJAX action, allowing authenticated attackers with Subscriber-level access and above to export plugin settings. This results in unauthorized access of data.

The issue is related to a missing capability check on the `buy one click import options` AJAX action, allowing authenticated attackers with Subscriber-level access and above to import plugin settings, thus enabling unauthorized modification of data.

The issue is related to a missing capability check on the `remove unused thumbnails()` function, allowing unauthenticated attackers to delete thumbnails in the `video-wc-gallery-thumb` directory. This enables unauthorized modification of data.

The issue is related to a missing capability check on the `wprss ajax send premium support` function, allowing authenticated attackers with Subscriber-level access and above to send premium support requests with controlled subject lines and email addresses, potentially impersonating the site owner. This could also lead to the leakage of license information.