CVE-2026-3477 in PZ Frontend Manager Plugin
要約
〜によって VulDB • 2026年06月20日
WordPress用プラグイン「PZ Frontend Manager」の1.0.6以前の全バージョンにおいて、Missing Authorization（認可欠如）の脆弱性が存在します。wp_ajax_pzfm_user_request_actionアクションフックを介して登録されているpzfm_user_request_action_callback()関数は、権限チェックとnonce検証の両方を欠いています。この関数はユーザーの有効化、無効化、および削除操作を処理します。「dataType」パラメータが「delete」に設定されると、現在のユーザーに必要な権限を持っているかどうかを確認することなく、指定されたすべてのユーザーIDに対してwp_delete_user()が呼び出されます。なお、同様のpzfm_remove_item_callback()関数は削除を実行する前にpzfm_can_delete_user()をチェックするため、これは見落としであったことが示唆されています。これにより、サブスクライバーレベル以上のアクセス権を持つ認証済み攻撃者は、AJAXエンドポイントに対して作成されたリクエストを送信することで、任意のWordPressユーザー（管理者を含む）を削除することが可能になります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.