CVE-2026-4896 in WCFM Plugin
Riassunto
di VulDB • 20/06/2026
Il plugin WCFM – Frontend Manager for WooCommerce, insieme al plugin Bookings Subscription Listings Compatible per WordPress, è vulnerabile a Insecure Direct Object Reference in tutte le versioni fino alla 6.7.25 inclusa, attraverso diverse azioni AJAX, tra cui `wcfm_modify_order_status`, `delete_wcfm_article`, `delete_wcfm_product`, e il controller di gestione degli articoli, a causa della mancanza di convalida sugli ID degli oggetti forniti dall'utente. Ciò consente agli attaccanti autenticati, con accesso a livello di Vendor o superiore, di modificare lo stato di qualsiasi ordine, eliminare o modificare qualsiasi post/prodotto/pagina, indipendentemente dalla proprietà.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.