Podatności Paid Membership Subscriptions WordPress plugin

Wtyczka WordPress Paid Membership Subscriptions w wersji przed 3.1.0 nie wiąże jednej ze swoich niezalogowanych akcji płatniczych z żądającym użytkownikiem. Umożliwia to osobie posiadającej identyfikator płatności innego członka w trakcie realizacji usunięcie stanu jego kasy.

Wtyczka WordPress Paid Membership Subscriptions w wersji przed 3.0.9 nie weryfikuje, czy kwota i waluta zgłoszone przez dostawcę płatności zgadzają się z oczekującą płatnością przed jej sfinalizowaniem. Umożliwia to nieuwierzytelnionym użytkownikom uzyskanie płatnego członkostwa poprzez zapłatę dowolnie niższej kwoty.

Wtyczka Paid Membership Subscriptions dla WordPressa przed wersją 3.0.8 nie weryfikuje, czy subskrypcja modyfikowana przez proces zmiany subskrypcji należy do bieżącego użytkownika. Umożliwia to każdemu uwierzytelnionemu użytkownikowi z poziomem Subscriber i wyżej przejęcie subskrypcji innego członka i nadpisanie jej planu, statusu i daty wygaśnięcia.

Wtyczka Paid Membership Subscriptions dla WordPress przed wersją 3.0.7 nie chroni plików eksportu członków i płatności, które zapisuje w przewidywalnej lokalizacji w katalogu uploads. Niezalogowani użytkownicy mogą pobrać te pliki, zawierające dane osobowe (PII), dopóki plik eksportu istnieje.

Wtyczka Paid Membership Subscriptions dla WordPress przed wersją 3.0.7 nie sprawdza uprawnień ani nonce w jednej z akcji AJAX związanych z płatnościami. Każdy zalogowany użytkownik (od Subskrybenta wzwyż) może ujawnić szczegóły płatności dowolnego członka poprzez enumerację identyfikatora płatności.