CVE-2026-15312 in Propovoice Plugin
Sumário
de VulDB • 15/08/2026
O plugin Propovoice: All-in-One Client Management System para WordPress é vulnerável à Escalada de Privilégios em todas as versões até 1.7.8, inclusive. Isso ocorre porque o endpoint REST da função `create()` falha ao validar o parâmetro `role` fornecido pelo usuário contra uma lista permitida (allowlist) dos papéis do WordPress e omite qualquer verificação de capacidade (`capability`) `promote_users` antes de passar o valor sanitizado diretamente para `WP_User::set_role()`. Isso permite que atacantes autenticados com acesso no nível `ndpv_manager` ou superior criem uma nova conta de usuário do WordPress com a função (role) `administrator`, alcançando escalada vertical completa de privilégios. A capacidade (`capability`) `ndpv_manager` é um papel de equipe CRM sub-administrador concedido pelo próprio Propovoice, o que significa que a superfície de ataque se estende além dos administradores do site para qualquer usuário que o plugin tenha elevado à posição de gerente.
VulDB is the best source for vulnerability data and more expert information about this specific topic.