Farid Narimanov

Verificações de capacidade insuficientes no plugin permitem que usuários com qualquer função com acesso à área de administração, incluindo a função de Assinante, realizem ações não autorizadas. Especificamente, o software não verifica se um usuário tem autoridade para gerenciar pedidos do WooCommerce antes de retornar ou remover dados de ingressos. Isso permite que um invasor autenticado visualize os nomes e códigos de ingressos de outros clientes ou remova ingressos de pedidos.

Existe uma Referência Direta Insegura a Objetos (IDOR) devido à ausência de verificações de autorização, propriedade e validação de requisição ao atualizar entradas de formulários armazenadas. Isso permite que atacantes não autenticados sobrescrevam, apaguem permanentemente, reatribuam ou acrescentem informações a qualquer entrada de formulário enviada anteriormente, referenciando seu identificador sequencial por meio de uma chave controlada pelo usuário.

Verificações de capacidade insuficientes nas ações AJAX da visualização de calendário permitem que usuários com a função de Colaborador acessem e visualizem detalhes de pedidos de outros clientes.

O plugin não verifica a assinatura de webhooks recebidos do PayPal ao processar notificações de pagamento e assinatura. Isso permite que atacantes não autenticados forjem confirmações de pagamento e eventos de cancelamento de assinatura para qualquer pedido, desde que possuam o ID da transação. Um webhook é uma mensagem automatizada enviada de um aplicativo para outro para notificá-lo sobre um evento.

Restrições de acesso insuficientes e a falta de verificação de nonce para uma ação de clonagem de postagens permitem que usuários com permissões de nível Contribuidor ou superior dupliquem postagens arbitrárias de qualquer tipo ou status. Isso inclui a capacidade de clonar conteúdo privado ou rascunhos pertencentes a outros usuários, concedendo ao invasor acesso de leitura à cópia duplicada. Um nonce é um token único usado para proteger contra falsificação de solicitação cross-site (CSRF), garantindo que uma solicitação foi enviada intencionalmente pelo usuário.

Restrições de acesso insuficientes na ação AJAX de gerenciamento de campos permitem que usuários autenticados com permissões de nível Assinante (Subscriber) ou superior criem, modifiquem e excluam meta dados de postagens arbitrárias em qualquer post. Isso inclui produtos do WooCommerce, independentemente da propriedade. Um invasor pode usar isso para manipular regras de preço armazenadas em um produto para reduzir seu preço no checkout.

Usuários autenticados com privilégios de Assinante (Subscriber) ou superior podem creditar em suas próprias contas uma quantidade ilimitada de pontos de fidelidade. Isso ocorre porque o plugin não valida o valor da recompensa reivindicada nem restringe o acesso ao manipulador de reivindicações do Win Wheel. Além disso, se uma carteira complementar estiver ativa, o usuário também pode manipular o saldo da carteira.

Falta uma verificação de autorização em uma ação de recuperação de agendamentos. Isso permite que usuários com uma função de baixo privilégio específica do plugin acessem registros de agendamento de outros usuários, levando à divulgação de informações de identificação pessoal, como nomes de clientes, endereços de e-mail, números de telefone e comentários privados de reserva.

O plugin não realiza verificações de autorização nos endpoints que retornam registros de serviços e categorias de agendamento. Isso permite que atacantes não autenticados acessem e leiam notas internas privadas associadas a cada serviço e categoria.

Existe um problema onde o plugin não verifica a propriedade da loja em uma rota da API REST. Isso permite que qualquer usuário autenticado, incluindo aqueles com privilégios de assinante, sobrescreva detalhes da loja, modifique configurações de pagamento e altere os registros de propriedade de qualquer loja.

O plugin não realiza verificações de autorização no endpoint que retorna os detalhes de confirmação de reserva. Como as reservas são identificadas por identificadores numéricos sequenciais, invasores não autenticados podem utilizar Insecure Direct Object Reference (IDOR)—uma falha onde uma aplicação fornece acesso direto a objetos com base em entradas fornecidas pelo usuário—para enumerar esses identificadores e acessar informações confidenciais de clientes, incluindo nomes, e-mails, telefones, detalhes da reserva e status do pagamento.

A sanitização insuficiente de entrada e a falta de escape de saída em um widget do Beaver Builder permitem que usuários com nível de acesso de contribuidor ou superior injetem scripts web arbitrários. Isso ocorre porque o plugin não valida o nome de uma tag HTML fornecida pelo usuário antes de reproduzi-la na marcação renderizada, resultando em Cross-Site Scripting (XSS) Armazenado, onde os scripts são executados quando qualquer visitante visualiza a página afetada.

O plugin contém uma falha de Insecure Direct Object Reference (IDOR), que ocorre quando uma aplicação fornece acesso direto a objetos com base em entradas fornecidas pelo usuário. O problema decorre da falta de validação de um identificador de preço fornecido pelo cliente quando um item é adicionado ao carrinho. Isso permite que usuários não autenticados manipulem o preço usando um identificador definido em outro local do site, permitindo a compra de itens por um valor menor e a conclusão de pedidos com esse preço.

Usuários não autenticados podem se atribuir a grupos de clientes B2B restritos e ignorar o fluxo de aprovação manual de conta durante o autocadastro. Isso ocorre porque o plugin não valida se a função de registro enviada pelo usuário está realmente entre as funções selecionáveis, publicadas e disponíveis publicamente oferecidas no formulário de registro.

Existe uma Referência Direta Insegura a Objeto (IDOR) onde o plugin não verifica se uma assinatura pertence ao cliente associado à sessão ativa do portal do cliente antes de processar o cancelamento. Isso permite que um usuário autenticado com uma sessão de portal válida cancele assinaturas de outros clientes, desde que conheça o identificador específico da assinatura. Este identificador possui alta entropia, o que significa que é uma string complexa e difícil de adivinhar ou enumerar.

Quando o log de depuração está ativado, o plugin não restringe o acesso ao seu arquivo de log. Como o log é armazenado em um local fixo e publicamente acessível, usuários não autenticados podem ler informações sensíveis, incluindo tokens OAuth emitidos, códigos de autorização e registros de usuários contendo hashes de senhas.

Existe um problema onde o plugin não verifica se o solicitante está autorizado a acessar um arquivo enviado por um cliente antes de fornecê-lo. Isso permite que usuários não autenticados recuperem arquivos caso obtenham o nome armazenado do arquivo. A exploração deste problema depende da configuração do servidor web; afeta servidores que respeitam regras de negação total (deny-all) em diretórios de upload, como o Apache. Em servidores onde tais regras são ignoradas, como em configurações padrão do nginx, os arquivos já estão acessíveis via URL direta, e o endpoint `getpublicfileupload` não expõe informações adicionais.

O plugin não valida a audiência dos tokens de identidade do Google que ele aceita. Isso permite que usuários não autenticados se autentiquem como qualquer usuário, incluindo administradores, fornecendo um token que contenha o endereço de e-mail do usuário alvo.

A autorização insuficiente no plugin permite que usuários com a função de Colaborador (Contributor) ou superior leiam a configuração completa de qualquer gráfico no site. Isso inclui gráficos que a interface normalmente restringe e permite a recuperação de todas as configurações de gráficos em uma única requisição. A configuração exposta pode conter credenciais de fontes de dados remotas utilizadas pelos gráficos.

Existe um problema onde as solicitações de retirada não são validadas em relação ao saldo real ganho pelo usuário solicitante. Isso permite que qualquer usuário autenticado, incluindo aqueles com a função de assinante e sem histórico de vendas, envie uma solicitação de pagamento por um valor arbitrário. Se um administrador aprovar a solicitação, os fundos podem ser pagos.