CVE-2025-5956 in WP Human Resource Management Plugin
Resumen
por MITRE • 2025-07-04
El complemento WP Human Resource Management para WordPress es vulnerable a la eliminación arbitraria de usuarios debido a la falta de autorización en la función ajax_delete_employee() en las versiones 2.0.0 a 2.2.17. El gestor de eliminación del complemento lee la matriz $_POST['delete'] proporcionada por el cliente y pasa cada ID directamente a wp_delete_user() sin verificar que el usuario tenga la capacidad delete_users ni limitar los ID de usuario que se pueden eliminar. Esto permite a atacantes autenticados, con acceso de empleado o superior, eliminar cuentas arbitrarias, incluyendo las de administrador.
If you want to get best quality of vulnerability data, you may have to visit VulDB.