Sanjorn Keeratirungsan

Existe um problema de revogação inadequada de acesso que permite que administradores excluídos continuem a receber conteúdos de documentos. Isso ocorre porque o `UserDeletedProcessor` não desativa as linhas de `WebhookSubscription`. Consequentemente, ex-administradores que registraram webhooks antes da exclusão continuam a receber corpos completos de documentos, incluindo dados Markdown e Yjs, via `DeliverWebhookTask` para cada evento de espaço de trabalho correspondente.

Uma falha de autorização permite que usuários autenticados excluam variantes de alimentos pertencentes a outros usuários. Isso é possível através do endpoint 'DELETE /api/foods/food-variants/:id' ao utilizar IDs de variantes obtidos em endpoints públicos de leitura de alimentos para remover variantes de porção e nutrição de alimentos compartilhados publicamente.

Existe um problema durante o registro com restrição de pagamento onde o software não reverte a criação de uma conta do WordPress se a etapa de pagamento subsequente falhar. Isso permite que usuários não autenticados criem contas funcionais sem concluir o pagamento exigido.

Usuários autenticados, incluindo aqueles com a função de Assinante, podem modificar o histórico de atualizações de campanhas das quais não são proprietários e disparar e-mails de notificação para os apoiadores, pois o plugin não verifica a propriedade da campanha.

O plugin não realiza uma verificação de autorização em seu manipulador de registro de lista de espera. Isso permite que usuários não autenticados criem contas de usuário do WordPress usando endereços de e-mail arbitrários e injetem registros de pedidos.

Existe uma Referência Direta a Objeto Insegura (IDOR) devido à ausência de verificações de autorização e validação em uma chave controlada pelo usuário durante uma ação de atualização de carteira e pontos. Isso permite que atacantes não autenticados modifiquem ou corrompam arbitrariamente o saldo da carteira e os pontos de fidelidade de qualquer usuário, inclusive tornando o saldo negativo. A modificação do saldo da carteira requer especificamente que o plugin complementar Wallet System for WooCommerce esteja ativo.

O plugin falha ao realizar uma verificação de capacidade antes de retornar os detalhes completos do cliente durante uma ação AJAX. Isso permite que qualquer usuário autenticado com acesso de baixo privilégio, como uma conta de Assinante, leia dados pessoais de clientes, incluindo nome, e-mail, telefone e endereço.

Existe uma restrição de acesso inadequada em um endpoint de REST API que retorna registros de doações recorrentes. Isso permite que usuários não autenticados recuperem informações sensíveis sobre doadores recorrentes anônimos, como seus nomes e detalhes de assinatura.

Existe uma Referência Direta Insegura a Objeto (IDOR) em vários endpoints de método de pagamento. O plugin não verifica se uma assinatura pertence ao cliente solicitante, permitindo que um usuário autenticado modifique a assinatura de outro cliente — incluindo a alteração do método de pagamento ou o cancelamento e a nova vinculação da mesma — desde que conheça o identificador da assinatura alvo.

O plugin não verifica se um pedido de reserva pertence ao usuário que faz a solicitação antes de processar o cancelamento. Isso permite que qualquer usuário autenticado, incluindo aqueles com funções de Assinante ou Cliente, cancele e anule pedidos de reserva de outros clientes.

Vários manipuladores AJAX não impõem verificações de capacidade, o que permite que usuários autenticados com acesso de nível Assinante leiam itens de reserva de outros usuários, enumerem cupons ativos e acessem dados de preços.

Ocorre Injeção de Objeto PHP devido ao uso de chamadas `unserialize()` nos componentes Workflow, Form block e File/Set que não implementam a restrição `allowed classes`. Isso permite que um invasor não autenticado acione a instanciação arbitrária de objetos PHP caso um payload serializado malicioso esteja presente no banco de dados.