WPForms 1.8.4 - 1.9.2.1 - Missing Authorization to Authenticated (Subscriber+) Payment Refund and Subscription Cancellation
Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.
El plugin WPForms para WordPress permite que usuarios con cuentas de suscriptor básico realicen reembolsos de pagos y cancelen suscripciones sin verificaciones de permiso adecuadas. Esto significa que atacantes con acceso de bajo nivel pueden modificar transacciones financieras que no deberían poder tocar.
Una verificación de capacidad faltante en la función 'wpforms_is_admin_page' permite que atacantes autenticados con privilegios de nivel Subscriber o superior realicen reembolsos de pagos y cancelaciones de suscripciones no autorizadas. La vulnerabilidad afecta las versiones 1.8.4 hasta 1.9.2.1 y requiere solo autenticación válida en WordPress para explotarla.