CVE-2026-19946 in Awesome Support Plugin
Zusammenfassung
von VulDB • 09.09.2026
Das WordPress-Plugin Awesome Support ist in den Versionen bis einschließlich 6.3.9 anfällig für Missing Authorization (fehlende Autorisierung). Dies liegt an einer fehlenden Capability-Prüfung in der Funktion `wpas_do_mr_deny_user()`, die im Gegensatz zu ihrer Gegenfunktion `wpas_do_mr_activate_user()` nicht `current_user_can('edit_users')` oder `current_user_can('edit_user', $user_id)` durchsetzt, sondern sich ausschließlich auf einen Nonce stützt, der nicht auf den Zielbenutzer beschränkt ist. Dies ermöglicht es authentifizierten Angreifern mit Subscriber-Level-Zugriff und höher, das Flag `mr_user_denied` für jedes Benutzerkonto – einschließlich Administratoren – zu setzen, wodurch deren moderierte Aktivierung dauerhaft blockiert und dem Opfer eine Benachrichtigungs-E-Mail über die Ablehnung zugesendet wird.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.