Mahdi Salhi

O plugin aBlocks – WordPress Gutenberg Blocks para WordPress possui uma falha que permite modificação não autorizada de dados e divulgação de informações sensíveis. Isso ocorre devido à falta de verificações de permissão em múltiplas ações AJAX. Atacantes autenticados com acesso de nível de assinante ou superior podem ler as configurações do plugin, incluindo visibilidade de blocos e configuração do modo de manutenção. Eles também podem acessar dados de configuração sensíveis, como chaves de API para serviços de e-mail marketing. As `chaves de API` estão particularmente vulneráveis à exposição.

O plugin Custom Post Type UI para WordPress está suscetível a contorno de autorização. O plugin não verifica adequadamente as capacidades do usuário ao executar a função `cptui process post type`. Isso permite que atacantes autenticados com acesso de nível de assinante ou superior adicionem, editem ou excluam tipos de post personalizados em circunstâncias específicas.