Existe uma falha de bypass de autenticação que leva à escalação de privilégios devido ao manuseio inadequado de reivindicações de identidade. A função `AuthenticateService::generatePayload()` sobrescreve apenas as chaves de payload JWT definidas na lista `jwt payload` configurada pelo administrador, permitindo que reivindicações fornecidas pelo invasor, como `email`, `id` ou `username`, permaneçam intactas e assinadas. Atacantes autenticados com nível de acesso de assinante ou superior podem elevar seus privilégios para Administrador injetando o endereço de e-mail de um administrador alvo no parâmetro `payload` no endpoint '/wp-json/simple-jwt-login/v1/auth' e, posteriormente, resgatando o JWT no endpoint '/autologin'.