Hieus

Existe um problema onde o plugin falha ao realizar uma verificação de capacidade em uma função de exclusão de agendamentos. Isso permite que usuários atribuídos à função personalizada de Staff, de baixos privilégios, excluam agendamentos arbitrários.

A validação insuficiente do caminho do arquivo na função `delete submission files()` permite que atacantes não autenticados excluam arquivos arbitrários no servidor. Isso é feito enviando uma URL de path traversal maliciosa através de um campo de upload de formulário, que é então armazenada no banco de dados. A exclusão é acionada quando um administrador remove o registro de envio do painel administrativo. A exclusão de arquivos críticos, como `wp-config.php`, pode levar à execução remota de código.

O plugin não escapa adequadamente uma URL fornecida pelo usuário antes de exibi-la dentro de um atributo HTML. Isso permite que usuários não autenticados realizem Cross-Site Scripting (XSS) Armazenado, uma técnica onde scripts maliciosos são armazenados permanentemente no servidor alvo e, posteriormente, executados no navegador de qualquer usuário, incluindo administradores, que visualize o conteúdo afetado.