Podatności Subscriptions for WooCommerce WordPress plugin

Wtyczka WordPress Subscriptions for WooCommerce przed wersją 2.1.1 egzekwuje ograniczenia dostępu do treści członkowskich tylko na standardowych widokach stron front-endu. Nieuwierzytelnieni użytkownicy mogą odczytać pełną treść zastrzeżonych wpisów i stron innymi ścieżkami, które renderują te same treści.

Wtyczka Subscriptions for WooCommerce dla WordPressa przed wersją 2.0.1 nie weryfikuje uprawnień użytkownika przed instalacją i aktywacją wtyczki z podanego przez użytkownika slug przez akcję AJAX chronioną nonce, co pozwala użytkownikom z rolą Shop Manager (którym brakuje uprawnień do zarządzania tą wtyczką) na instalację i aktywację dowolnych wtyczek, co prowadzi do zdalnego wykonania kodu.

Wtyczka Subscriptions for WooCommerce dla WordPressa przed wersją 2.0.1 nie weryfikuje, czy żądający jest właścicielem subskrypcji przed wyświetleniem jej szczegółów, co pozwala każdemu uwierzytelnionemu klientowi na odczytanie informacji o subskrypcji innego klienta (subskrybowany produkt, status i daty) poprzez podanie jej ID.