CVE-2025-5956 in WP Human Resource Management Plugin
要約
〜によって VulDB • 2026年06月02日
WordPress用WP Human Resource Managementプラグインには、バージョン2.0.0から2.2.17にかけて、ajax_delete_employee()関数内で認可処理が欠落していることによる任意のユーザー削除の脆弱性が存在します。プラグインの削除ハンドラは、クライアントから提供された$_POST['delete']配列を読み取り、呼び出し元がdelete_users権限を持っているかを確認したり、削除可能なユーザーIDを制限したりすることなく、各IDを直接wp_delete_user()に渡します。これにより、従業員レベル以上のアクセス権を持つ認証済み攻撃者は、管理者アカウントを含む任意のアカウントを削除することが可能になります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.