Vulnerabilidades do WP Travel WP Travel Pro

O plugin WP Travel Pro para WordPress é vulnerável a exclusão arbitrária de usuários por meio do endpoint da REST API /wp-json/wp-travel/v1/travel-guide/{user_id} em todas as versões até, e incluindo, 10.6.0. Isso se deve ao callback check_permission() retornar incondicionalmente true e ao método Database::delete() passar o ID do usuário diretamente para wp_delete_user() sem qualquer validação de função. Isso torna possível que atacantes não autenticados excluam contas de usuários arbitrárias, incluindo as de administradores.