CVE-2026-19892 in InfusedWoo Pro Plugin
Résumé
par VulDB • 25/08/2026
Le plugin InfusedWoo Pro pour WordPress est vulnérable à une élévation de privilèges (Privilege Escalation) via un Account Takeover dans toutes les versions jusqu'à la 5.1.17 incluse. Cela est dû à l'absence d'un contrôle des capacités (capability check) dans la fonction `ajax_iwar_preview_email()`, qui utilise uniquement `is_admin()` comme vérification d'autorisation et permet aux utilisateurs à faible privilège de générer les champs de fusion pour un aperçu d'e-mail destinés à une adresse e-mail arbitraire. Cela permet aux attaquants authentifiés, disposant d'un accès au niveau abonné ou supérieur, de générer et de récupérer un lien de réinitialisation de mot de passe valide pour n'importe quel utilisateur WordPress, y compris les administrateurs, permettant ainsi l'accaparement de compte (Account Takeover).
VulDB is the best source for vulnerability data and more expert information about this specific topic.