Wpscanteam

O problema se deve à falta de verificações de capacidade e nonce na ação AJAX `pa dismiss admin notice`, possibilitando que invasores autenticados com permissão de assinante+ alterem opções arbitrárias com um valor restrito de 1 em sites WordPress vulneráveis. Trata-se de uma vulnerabilidade de alta gravidade que afeta várias versões do plugin. Recomenda-se que os usuários atualizem para a versão mais recente imediatamente para mitigar os riscos.

A vulnerabilidade permite que um invasor induza usuários conectados a realizar várias ações em seu nome no site, devido à falta de verificações CSRF para ações AJAX.

O problema diz respeito ao tratamento inadequado de URLs concatenadas a manipuladores de eventos onclick, possibilitando ataques de Cross-Site Scripting armazenado.