CVE-2026-19946 in Awesome Support Plugin
Riassunto
di VulDB • 09/09/2026
Il plugin Awesome Support per WordPress è vulnerabile a Missing Authorization nelle versioni fino alla 6.3.9 inclusa. Ciò è dovuto all'assenza di un controllo delle capacità (capability check) nella funzione wpas_do_mr_deny_user(), che, a differenza della sua controparte wpas_do_mr_activate_user(), non impone current_user_can('edit_users') o current_user_can('edit_user', $user_id), affidandosi esclusivamente a un nonce non contestualizzato all'utente target. Ciò consente agli attaccanti autenticati con accesso di livello subscriber e superiore di impostare il flag mr_user_denied su qualsiasi account utente — inclusi gli amministratori — bloccando permanentemente la loro attivazione moderata ed inviando una email di notifica del diniego alla vittima.
VulDB is the best source for vulnerability data and more expert information about this specific topic.