Robert Hartinger

**Nome do Software Vulnerável e Versões Afetadas** Participants Database versões anteriores a 2.7.8.4 **Descrição** O plugin Participants Database para WordPress permite que atacantes não autenticados exponham informações sensíveis através do parâmetro `id`. Ao coletar um nonce válido por meio de uma requisição GET em uma página com formulário de inscrição ou registro público, um atacante pode enviar uma requisição POST com `action=update` e um valor de `id` arbitrário para sobrescrever registros de participantes. Ao utilizar subsequentemente `action=retrieve`, o atacante pode redirecionar o link de acesso ao registro para um endereço de e-mail sob seu controle, obtendo acesso total de leitura e edição a informações de identificação pessoal, como nomes, endereços de e-mail e números de telefone. **Recomendações** Atualize o plugin para uma versão posterior à 2.7.8.3. Como medida de mitigação temporária, restrinja o acesso ao parâmetro `id` nas funções afetadas do plugin até que a atualização seja aplicada.