Andrés Cruciani

**Nome do Software Vulnerável e Versões Afetadas** Advanced Product Fields (Product Addons) for WooCommerce versões anteriores a 1.6.22 **Description** Ocorre uma Validação Inadequada de Entrada devido a uma falha de lógica na função `validate cart data()`. Isso permite que atacantes não autenticados ignorem complementos pagos obrigatórios e concluam compras apenas pelo preço base do produto, resultando na aquisição de produtos por uma fração do total pretendido. **Recommendations** Atualize o Advanced Product Fields (Product Addons) for WooCommerce para a versão 1.6.22 ou posterior.

**Nome do Software Vulnerável e Versões Afetadas** LatePoint – Calendar Booking Plugin for Appointments and Events versões anteriores a 5.4.1 **Descrição** A validação inadequada de entrada no processador de pagamentos Stripe Connect permite que atacantes não autenticados paguem um valor arbitrário. Isso ocorre porque o plugin aceita um ID de PaymentIntent fornecido pelo cliente, permitindo o uso de um token de PaymentIntent previamente bem-sucedido para ignorar os valores de pagamento corretos. **Recomendações** Atualize o plugin para uma versão posterior à 5.4.0.

Name of the Vulnerable Software and Affected Versions The Charitable – Donation Plugin for WordPress – Fundraising with Recurring Donations & More versões até 1.8.9.7 Description O plugin Charitable – Donation Plugin for WordPress é afetado por uma falha devido à falta de verificação criptográfica de eventos webhook de entrada do Stripe. Isso permite que invasores forjem cargas úteis de webhook `payment intent.succeeded` e marquem falsamente doações pendentes como concluídas sem um pagamento válido. Recommendations Atualize para uma versão mais recente que 1.8.9.7.

**Name of the Vulnerable Software and Affected Versions** Formidable Forms plugin for WordPress versions up to and including 6.28 **Description** The Formidable Forms plugin for WordPress is susceptible to a payment integrity issue. This occurs because the Stripe Link return handler, `handle one time stripe link return url`, confirms payment completion based only on the Stripe PaymentIntent status, without verifying the charged amount against the expected payment. Additionally, the `verify intent()` function only checks client secret ownership, failing to link intents to specific forms or actions. This allows unauthenticated attackers to potentially reuse a PaymentIntent from a completed low-value payment to falsely mark a high-value payment as complete, bypassing payment for goods or services. **Recommendations** Update Formidable Forms plugin to a version beyond 6.28.