WPForms 1.8.4 - 1.9.2.1 - Missing Authorization to Authenticated (Subscriber+) Payment Refund and Subscription Cancellation
Sem sinal de exploração. Nenhum artefato público de exploração conhecido até agora.
O plugin WPForms para WordPress permite que usuários com contas de assinante básico façam reembolsos de pagamentos e cancelem inscrições sem verificações de permissão adequadas. Isso significa que atacantes com acesso de baixo nível podem modificar transações financeiras que não deveriam ter permissão de acessar.
Uma verificação de capacidade ausente na função 'wpforms_is_admin_page' permite que atacantes autenticados com privilégios de nível Subscriber ou superior realizem reembolsos de pagamentos e cancelamentos de inscrições não autorizados. A vulnerabilidade afeta as versões 1.8.4 até 1.9.2.1 e requer apenas autenticação válida no WordPress para ser explorada.