Nikita Fenko

**Nome do Software Vulnerável e Versões Afetadas** Simple Membership versões anteriores a 4.7.6 **Descrição** Existe uma falha de bypass de autorização porque o software não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes não autenticados podem desativar contas de membros arbitrários forjando um evento de webhook `charge.refunded`. Ao incluir o ID de assinatura de uma vítima, o atacante pode definir o `account state` do membro alvo como 'inactive', o que dispara hooks de cancelamento, altera status de registros de transação e envia e-mails de notificação de cancelamento. Este problema afeta apenas instalações onde nenhum segredo de assinatura de webhook do Stripe foi configurado, pois sites com a opção `stripe-webhook-signing-secret` habilitada são roteados por um caminho HMAC (Hash-based Message Authentication Code) verificado. **Recomendações** Atualize para uma versão posterior a 4.7.5. Configure a opção `stripe-webhook-signing-secret` para garantir que os eventos de webhook sejam devidamente verificados via HMAC.