CVE-2026-19946 in Awesome Support Plugin
요약
\~에 의해 VulDB • 2026. 09. 09.
WordPress용 Awesome Support 플러그인에는 최대 6.3.9 버전까지 인증 누락(Missing Authorization) 취약점이 존재합니다. 이는 wpas_do_mr_deny_user() 함수에서 권한 확인이 누락되었기 때문입니다. 이 함수는 대응되는 wpas_do_mr_activate_user() 함수와 달리 current_user_can('edit_users') 또는 current_user_can('edit_user', $user_id)를 강제하지 않으며, 대상 사용자와 범위가 지정되지 않은 nonce에만 의존합니다. 이로 인해 구독자(subscriber) 수준의 접근 권한 이상을 가진 인증된 공격자가 모든 사용자 계정(관리자를 포함하여)의 mr_user_denied 플래그를 설정할 수 있으며, 이는 해당 계정의 moderated activation을 영구적으로 차단하고 피해자에게 거부 알림 이메일을 발송하게 만듭니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.