Informações Sobre Segurança & Infra WordPress
Informações Sobre Segurança & Infra WordPress
A correção já existe.
Qualquer pessoa consegue forjar o aviso de pagamento e marcar pedidos como pagos sem pagar, ou marcar pedidos de outros clientes como falhos.
Um visitante consegue zerar o valor da reserva e agendar serviços sem pagar.
Um visitante sem login consegue deixar gravado um código que roda no navegador de quem abre a versão traduzida da página. Se for um administrador logado, o invasor pode roubar a sessão.
Qualquer visitante consegue ver dados que a imobiliária escondeu nos anúncios, como preço e endereço exato do imóvel.
Qualquer usuário logado, até um simples assinante, consegue ler os e-mails de reservas com nome, e-mail e telefone dos clientes. É vazamento de dados pessoais (LGPD).
Qualquer pessoa sem conta consegue plantar um código num pedido que roda quando um administrador abre esse pedido, o que pode levar ao sequestro da sessão.
Um usuário com conta simples (assinante) pode deixar uma armadilha que, ao restaurar um backup, o transforma em administrador.
Um invasor sem login consegue mandar por e-mail um arquivo que vira código executável no servidor, o que permite tomar o site.
Um visitante sem login consegue injetar comandos na página e ganhar permissões que não deveria ter no site.
Um visitante sem login consegue esconder um código em comentários que roda quando alguém abre a página. Campanhas recentes usam esse tipo de falha para criar administradores ocultos.
Um visitante sem login consegue acionar shortcodes de outros plugins do site, o que pode vazar informações ou alterar conteúdo.
Um visitante sem login consegue publicar páginas que ainda eram rascunho e sobrescrever o conteúdo delas.