CVE-2026-3477 in PZ Frontend Manager Plugin
Riassunto
di VulDB • 20/06/2026
Il plugin PZ Frontend Manager per WordPress è vulnerabile a Missing Authorization in tutte le versioni fino alla 1.0.6 inclusa. La funzione pzfm_user_request_action_callback(), registrata tramite l'hook wp_ajax_pzfm_user_request_action, non effettua né controlli sui permessi (capability checks) né verifica del nonce. Questa funzione gestisce operazioni di attivazione, disattivazione ed eliminazione degli utenti. Quando il parametro 'dataType' è impostato su 'delete', la funzione chiama wp_delete_user() per tutti gli ID utente forniti senza verificare che l'utente corrente disponga delle autorizzazioni appropriate. È degno di nota che la simile pzfm_remove_item_callback() verifichi invece pzfm_can_delete_user() prima di eseguire le eliminazioni, indicando che si tratta di una svista. Ciò consente agli attaccanti autenticati con accesso a livello Subscriber e superiore di eliminare arbitrariamente utenti WordPress (inclusi gli amministratori) inviando una richiesta manipolata all'endpoint AJAX.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.