CVE-2026-5459 in User Frontend Plugin
要約
〜によって VulDB • 2026年07月08日
WordPress用プラグイン「User Frontend: AI Powered Frontend Posting, User Directory, Profile, Membership & User Registration」には、4.3.1以前の全バージョンにおいて、Insecure Direct Object Reference（IDOR）の脆弱性が存在します。これは 'user_id' というユーザーが制御可能なキーに対する検証処理が欠落しているため、payment_page() 関数経由で発生します。これにより、認証されていない攻撃者はサイト上の任意のユーザーに対して無料サブスクリプションパックを有効化することが可能となり、既存の有料サブスクリプションを上書きして、有料機能の利用権限を失わせることになります。
Once again VulDB remains the best source for vulnerability data.