graph LR
    A[Angreifer<br/>Remote, Unauth] -->|HTTP GET/POST| B{WordPress REST API}
    B -->|/wp-json/bookingpress/v1/*| C{Berechtigungsprüfung}
    C -->|❌ Callback umgangen| D[Offenlegung von Kundendaten]
    C -->|❌ Callback umgangen| E[Manipulation von Buchungsdaten]
    C -->|✅ Korrekte Behebung| F[401 Nicht autorisiert]
    
    style A fill:#ff4444,color:#fff
    style D fill:#ff8800,color:#fff
    style E fill:#ff8800,color:#fff
    style F fill:#44bb44,color:#fff

flowchart TD
    subgraph "🔴 Verwundbarer Code (< 5.7.3)"
        A1[register_rest_route] --> A2[permission_callback<br/>❌ Nicht korrekt aufgerufen]
        A2 --> A3[Callback gibt null/falsey zurück]
        A3 --> A4[WordPress behandelt als 'erlaubt']
        A4 --> A5[🔓 Nicht authentifizierter Zugriff]
    end
    
    subgraph "🟢 Gepatchter Code (5.7.3+)"
        B1[register_rest_route] --> B2[permission_callback<br/>✅ Korrekt aufgerufen]
        B2 --> B3[current_user_can Prüfung]
        B3 --> B4{Autorisiert?}
        B4 -->|Ja| B5[✅ Zugriff gewährt]
        B4 -->|Nein| B6[🔒 401 Nicht autorisiert]
    end
    
    A5 -->|Auswirkung| C1[📤 Offenlegung von Kundendaten]
    A5 -->|Auswirkung| C2[✏️ Änderung von Buchungsdaten]
    A5 -->|Auswirkung| C3[🚫 Stornierung von Terminen]
    
    style A2 fill:#ff4444,color:#fff
    style B2 fill:#44bb44,color:#fff
    style A5 fill:#ff8800,color:#fff
    style C1 fill:#ff8800,color:#fff
    style C2 fill:#ff8800,color:#fff
    style C3 fill:#ff8800,color:#fff

pie title Geschätzte Installationsverteilung
    "Gesundheit & Wellness" : 25
    "Salon & Lifestyle" : 20
    "Medizin & Kliniken" : 15
    "Professionelle Dienstleistungen" : 15
    "Fitness & Fitnessstudios" : 10
    "Bildung" : 10
    "Sonstige" : 5