Плагин Finale Lite WordPress до версии 2.21.0 не выполняет проверку возможностей действия AJAX, которое возвращает конфигурацию торговой кампании для произвольного идентификатора публикации, что позволяет любому аутентифицированному пользователю (подписчику и выше) читать плагин Finale Lite WordPress до версии 2.21.0, конфигурацию кампании и данные планирования.
Показать оригинальное описание (EN)
The Finale Lite WordPress plugin before 2.21.0 does not perform a capability check on an AJAX action that returns a sales-campaign's configuration for an arbitrary post ID, allowing any authenticated user (Subscriber and above) to read the Finale Lite WordPress plugin before 2.21.0's campaign configuration and scheduling data.