graph LR
    A[Attaccante<br/>Remoto, Non Autenticato] -->|HTTP GET/POST| B{API REST di WordPress}
    B -->|/wp-json/bookingpress/v1/*| C{Controllo Permessi}
    C -->|❌ Callback Bypassato| D[Divulgazione PII dei Clienti]
    C -->|❌ Callback Bypassato| E[Manomissione Dati di Prenotazione]
    C -->|✅ Corretta Correzione| F[401 Non Autorizzato]
    
    style A fill:#ff4444,color:#fff
    style D fill:#ff8800,color:#fff
    style E fill:#ff8800,color:#fff
    style F fill:#44bb44,color:#fff

flowchart TD
    subgraph "🔴 Codice Vulnerabile (< 5.7.3)"
        A1[register_rest_route] --> A2[permission_callback<br/>❌ Non invocato correttamente]
        A2 --> A3[Il callback restituisce null/falsey]
        A3 --> A4[WordPress lo tratta come 'permesso']
        A4 --> A5[🔓 Accesso Non Autenticato]
    end
    
    subgraph "🟢 Codice Corretto (5.7.3+)"
        B1[register_rest_route] --> B2[permission_callback<br/>✅ Invocato correttamente]
        B2 --> B3[Controllo current_user_can]
        B3 --> B4{Autorizzato?}
        B4 -->|Sì| B5[✅ Accesso Consentito]
        B4 -->|No| B6[🔒 401 Non Autorizzato]
    end
    
    A5 -->|Impatto| C1[📤 Esposizione PII dei Clienti]
    A5 -->|Impatto| C2[✏️ Modifica dei Dati di Prenotazione]
    A5 -->|Impatto| C3[🚫 Cancellazione degli Appuntamenti]
    
    style A2 fill:#ff4444,color:#fff
    style B2 fill:#44bb44,color:#fff
    style A5 fill:#ff8800,color:#fff
    style C1 fill:#ff8800,color:#fff
    style C2 fill:#ff8800,color:#fff
    style C3 fill:#ff8800,color:#fff

pie title Distribuzione Stimata delle Installazioni
    "Salute e Benessere" : 25
    "Saloni e Stile di Vita" : 20
    "Medico e Cliniche" : 15
    "Servizi Professionali" : 15
    "Fitness e Palestre" : 10
    "Istruzione" : 10
    "Altro" : 5