CVE-2026-12093

Nome do Software Vulnerável e Versões Afetadas Simple Membership versões anteriores a 4.7.6

Descrição Existe uma falha de bypass de autorização porque o software não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes não autenticados podem desativar contas de membros arbitrários forjando um evento de webhook charge.refunded. Ao incluir o ID de assinatura de uma vítima, o atacante pode definir o account state do membro alvo como 'inactive', o que dispara hooks de cancelamento, altera status de registros de transação e envia e-mails de notificação de cancelamento. Este problema afeta apenas instalações onde nenhum segredo de assinatura de webhook do Stripe foi configurado, pois sites com a opção stripe-webhook-signing-secret habilitada são roteados por um caminho HMAC (Hash-based Message Authentication Code) verificado.

Recomendações Atualize para uma versão posterior a 4.7.5. Configure a opção stripe-webhook-signing-secret para garantir que os eventos de webhook sejam devidamente verificados via HMAC.