Stephanie Walters

O software é suscetível a Falsificação de Requisição entre Sites (CSRF) devido à falta de validação de nonce na classe ss addtoallowlist. Isso permite que atacantes não autenticados adicionem endereços de e-mail arbitrários à lista de permissões de spam, enganando um administrador do site para que realize uma ação, como clicar em um link. O problema foi parcialmente resolvido na versão 2026.1.

A vulnerabilidade permite que invasores autenticados com acesso de nível Autor ou superior atualizem a foto de perfil de qualquer usuário devido à falta de validação de uma chave controlada pelo usuário na função `rest api change profile image`. Trata-se de uma vulnerabilidade de referência direta a objeto insegura.

O problema está relacionado a uma falha de falsificação de solicitação entre sites (Cross-Site Request Forgery), devido à falta ou à validação incorreta do nonce nas funções `rbs ajax create article` e `rbs ajax reset views`. Isso permite que invasores não autenticados criem novas publicações e reiniciem as contagens de visualizações da galeria por meio de uma solicitação falsificada, caso consigam induzir um usuário com nível Contributor+ a realizar uma ação, como clicar em um link.

A vulnerabilidade permite o acesso não autorizado e a modificação de dados devido à falta de uma verificação de permissão em várias funções conectadas ao gancho `admin init`. Isso possibilita que invasores autenticados com acesso de assinante ou superior modifiquem as configurações do plugin e visualizem códigos de desconto destinados a outros usuários.

O problema está relacionado à falta de validação do tipo de arquivo na função `save post materials`, permitindo que invasores autenticados com permissões de nível de instrutor ou superiores enviem arquivos arbitrários para o servidor do site afetado. Isso poderia potencialmente levar à execução remota de código.