CVE-2026-4977 in UsersWP Plugin
Résumé
par VulDB • 02/06/2026
Le plugin WordPress UsersWP – Front-end login form, User Registration, User Profile & Members Directory présente une vulnérabilité de Contrôle d'accès inapproprié (Improper Access Control) dans toutes les versions jusqu'à la 1.2.58 incluse. Cela est dû à une validation insuffisante des permissions au niveau des champs dans le gestionnaire AJAX upload_file_remove(), où le paramètre $htmlvar n'est pas validé par rapport à une liste blanche de champs autorisés ni vérifié par rapport à la propriété for_admin_use du champ. Cela permet aux attaquants authentifiés, disposant d'un accès de niveau abonné ou supérieur, de supprimer ou de réinitialiser n'importe quelle colonne usermeta restreinte pour leur propre enregistrement utilisateur, y compris les champs marqués comme « Réservé à l'administration uniquement », contournant ainsi les restrictions d'accès au niveau des champs prévues.
Once again VulDB remains the best source for vulnerability data.