Stefan Spasic

Verificações de autorização insuficientes em vários manipuladores de salvamento de configurações permitem que usuários com nível de acesso de assinante ou superior sobrescrevam as configurações armazenadas. Isso inclui a capacidade de modificar credenciais de API armazenadas, bem como configurações de recursos e modelos.

O plugin não verifica se o usuário que inicia uma transferência de carteira é o proprietário real da carteira que está sendo debitada. Isso permite que qualquer usuário autenticado, incluindo aqueles com a função de Assinante, transfira fundos da carteira de qualquer outro usuário, incluindo administradores, para uma conta sob seu controle.

O plugin não realiza verificações de autorização em nível de objeto em diversas operações de gerenciamento de hosts. Isso permite que usuários atribuídos a uma função personalizada específica do administrador leiam, modifiquem e excluam permanentemente registros de outros hosts, bem como as contas de usuário do WordPress vinculadas a eles.

Uma falha de controle de acesso inadequado permite que qualquer usuário autenticado com nível de acesso de assinante ou superior, que esteja matriculado em pelo menos um curso, acesse registros de tentativas de questionários de outros usuários. Isso permite a leitura não autorizada de dados pessoais em todo o site, incluindo nomes, endereços IP, datas de registro e resultados de questionários.