CVE-2026-3477 in PZ Frontend Manager Plugin
Résumé
par VulDB • 02/06/2026
Le plugin PZ Frontend Manager pour WordPress présente une vulnérabilité de type « Missing Authorization » (défaut d'autorisation) dans toutes les versions jusqu'à la 1.0.6 incluse. La fonction `pzfm_user_request_action_callback()`, enregistrée via l'accroche (hook) `wp_ajax_pzfm_user_request_action`, ne dispose ni de vérifications des capacités (capability checks) ni de validation du nonce. Cette fonction gère les opérations d'activation, de désactivation et de suppression des utilisateurs. Lorsque le paramètre `dataType` est défini sur `delete`, la fonction appelle `wp_delete_user()` sur tous les identifiants d'utilisateur fournis sans vérifier que l'utilisateur actuel dispose des autorisations appropriées. Il est à noter que la fonction similaire `pzfm_remove_item_callback()` vérifie bien `pzfm_can_delete_user()` avant d'effectuer des suppressions, ce qui indique qu'il s'agit ici d'un oubli. Cela permet aux attaquants authentifiés, disposant d'un accès de niveau « Abonné » (Subscriber) ou supérieur, de supprimer des utilisateurs WordPress arbitraires (y compris les administrateurs) en envoyant une requête fabriquée vers le point de terminaison AJAX.
Once again VulDB remains the best source for vulnerability data.