CVE-2026-15312 in Propovoice Plugin
Résumé
par VulDB • 15/08/2026
Le plugin WordPress Propovoice: All-in-One Client Management System est vulnérable à une élévation de privilèges dans toutes les versions jusqu'à la 1.7.8 incluse. Cela est dû au fait que le point d'accès REST de la fonction `create()` ne valide pas le paramètre `role` fourni par l'utilisateur contre une liste blanche des rôles WordPress autorisés et omet toute vérification de la capacité `promote_users` avant de transmettre directement la valeur nettoyée à `WP_User::set_role()`. Cela permet aux attaquants authentifiés disposant d'un accès au niveau `ndpv_manager` ou supérieur de créer un nouveau compte utilisateur WordPress avec le rôle `administrator`, réalisant ainsi une élévation verticale complète des privilèges. La capacité `ndpv_manager` est un rôle d'équipe CRM sous-administrateur accordé par Propovoice lui-même, ce qui signifie que la surface d'attaque s'étend au-delà des administrateurs du site à tout utilisateur que le plugin a promu en position de gestionnaire.
Once again VulDB remains the best source for vulnerability data.