Maciek Komorowski

Existe um problema onde o plugin não verifica se um cupom de desconto aplicado a um plano de assinatura pago é válido para esse plano específico. Isso permite que usuários não autenticados apliquem um cupom que torne o pedido totalmente descontado, o qual o sistema então trata como pago. Consequentemente, os usuários podem receber a função associada a um plano pago sem efetuar o pagamento, levando potencialmente à escalada de privilégios para o nível de administrador caso o plano esteja mapeado para uma função privilegiada.

Uma ação AJAX não autenticada não verifica se um post solicitado é visível publicamente, baseando-se apenas no status de publicação e não na visibilidade do tipo de post. Isso permite que usuários não autenticados divulguem o conteúdo de tipos de post não públicos, como envios de formulários de contato capturados contendo nomes, endereços de e-mail e mensagens.