7Megaumka7

O endpoint 'invoice/update' da Guest API carece de uma verificação de autorização. Isso permite que um usuário não autenticado que possua um hash de fatura modifique o gateway de pagamento de uma fatura não paga, alterando a variável `gateway id` para qualquer gateway de pagamento já configurado no sistema. Os hashes de fatura podem ser expostos por meio de links de e-mail, cabeçalhos de referência ou URLs compartilhadas. O impacto é limitado pela configuração do sistema `invoice accessible from hash` e pela exigência de que o gateway já tenha sido instalado por um administrador.

Quando um registro `ClientPasswordReset` já existe para um cliente de uma solicitação anterior não expirada, chamadas subsequentes ao endpoint de API de convidado `reset password` reutilizam o token existente em vez de gerar um novo. A janela de validade de 15 minutos é baseada no timestamp `created at` da primeira solicitação, e não no e-mail mais recente. Isso permite que um invasor que obteve o link de redefinição original possa utilizá-lo mesmo depois que a vítima solicitar uma nova redefinição, pois o token original não é invalidado nem rotacionado.

O endpoint de API Guest `serviceapikey/get info` está acessível sem autenticação. Qualquer pessoa com uma chave de API válida pode recuperar todos os parâmetros de configuração personalizados, especificamente os campos `custom *`, armazenados no registro do banco de dados da chave. Esses campos são preenchidos por administradores de faturamento e podem conter dados empresariais sensíveis, como níveis de preços, sinalizadores de recursos (feature flags), limites de taxa, anulações de expiração ou dados de escopo de acesso.