graph LR
    A[Atacante<br/>Remoto, Sin Autenticación] -->|HTTP GET/POST| B{API REST de WordPress}
    B -->|/wp-json/bookingpress/v1/*| C{Verificación de Permisos}
    C -->|❌ Callback Omitido| D[Divulgación de PII del Cliente]
    C -->|❌ Callback Omitido| E[Alteración de Datos de Reservas]
    C -->|✅ Corrección Adecuada| F[401 No Autorizado]
    
    style A fill:#ff4444,color:#fff
    style D fill:#ff8800,color:#fff
    style E fill:#ff8800,color:#fff
    style F fill:#44bb44,color:#fff

flowchart TD
    subgraph "🔴 Código Vulnerable (< 5.7.3)"
        A1[register_rest_route] --> A2[permission_callback<br/>❌ No invocado correctamente]
        A2 --> A3[Callback devuelve null/falsey]
        A3 --> A4[WordPress lo trata como 'permitido']
        A4 --> A5[🔓 Acceso No Autenticado]
    end
    
    subgraph "🟢 Código Parcheado (5.7.3+)"
        B1[register_rest_route] --> B2[permission_callback<br/>✅ Invocado correctamente]
        B2 --> B3[Verificación current_user_can]
        B3 --> B4{¿Autorizado?}
        B4 -->|Sí| B5[✅ Acceso Concedido]
        B4 -->|No| B6[🔒 401 No Autorizado]
    end
    
    A5 -->|Impacto| C1[📤 Exposición de PII del Cliente]
    A5 -->|Impacto| C2[✏️ Modificación de Datos de Reservas]
    A5 -->|Impacto| C3[🚫 Cancelación de Citas]
    
    style A2 fill:#ff4444,color:#fff
    style B2 fill:#44bb44,color:#fff
    style A5 fill:#ff8800,color:#fff
    style C1 fill:#ff8800,color:#fff
    style C2 fill:#ff8800,color:#fff
    style C3 fill:#ff8800,color:#fff

pie title Distribución Estimada de Instalaciones
    "Salud y Bienestar" : 25
    "Salón y Estilo de Vida" : 20
    "Médico y Clínicas" : 15
    "Servicios Profesionales" : 15
    "Fitness y Gimnasios" : 10
    "Educación" : 10
    "Otros" : 5