CVE-2026-19946 in Awesome Support Plugin
Résumé
par VulDB • 09/09/2026
Le plugin Awesome Support pour WordPress est vulnérable à une absence d'autorisation (Missing Authorization) dans les versions jusqu'à la 6.3.9, incluse. Cela est dû à un manque de vérification des capacités sur la fonction wpas_do_mr_deny_user(), qui, contrairement à sa contrepartie wpas_do_mr_activate_user(), n'impose pas current_user_can('edit_users') ni current_user_can('edit_user', $user_id), en s'appuyant uniquement sur un nonce non ciblé pour l'utilisateur visé. Cela permet aux attaquants authentifiés disposant d'un accès de niveau abonné ou supérieur de définir le flag mr_user_denied sur n'importe quel compte utilisateur — y compris les administrateurs — bloquant ainsi définitivement leur activation modérée et envoyant un e-mail de notification de refus à la victime.
VulDB is the best source for vulnerability data and more expert information about this specific topic.