Latz

**Nome do Software Vulnerável e Versões Afetadas** Points and Rewards for WooCommerce versões anteriores a 2.10.1 **Descrição** Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes autenticados com nível de acesso de assinante ou superior podem converter e drenar pontos de recompensa de qualquer usuário para o saldo da carteira, exfiltrar e-mails e saldos de pontos de usuários para uma conta Klaviyo externa, sobrescrever a chave pública de API do Klaviyo, bloquear ou desbloquear usuários do sistema de pontos e modificar as configurações de banner e cabeçalho de campanha. O nonce de autenticação `wps-wpr-verify-nonce` é injetado em todas as páginas públicas via `wp localize script()`. Além disso, o manipulador `wps wpr generate custom wallet` está registrado no hook `wp ajax nopriv `, permitindo que visitantes não autenticados obtenham um nonce válido e explorem essa função específica. **Recomendações** Atualize para a versão 2.10.1 ou posterior.