Podatności Paid Membership Subscriptions WordPress plugin

Wtyczka Paid Membership Subscriptions dla WordPressa przed wersją 3.0.8 nie weryfikuje, czy subskrypcja modyfikowana przez proces zmiany subskrypcji należy do bieżącego użytkownika. Umożliwia to każdemu uwierzytelnionemu użytkownikowi z poziomem Subscriber i wyżej przejęcie subskrypcji innego członka i nadpisanie jej planu, statusu i daty wygaśnięcia.

Wtyczka Paid Membership Subscriptions dla WordPress przed wersją 3.0.7 nie chroni plików eksportu członków i płatności, które zapisuje w przewidywalnej lokalizacji w katalogu uploads. Niezalogowani użytkownicy mogą pobrać te pliki, zawierające dane osobowe (PII), dopóki plik eksportu istnieje.

Wtyczka Paid Membership Subscriptions dla WordPress przed wersją 3.0.7 nie sprawdza uprawnień ani nonce w jednej z akcji AJAX związanych z płatnościami. Każdy zalogowany użytkownik (od Subskrybenta wzwyż) może ujawnić szczegóły płatności dowolnego członka poprzez enumerację identyfikatora płatności.