CVE-2026-19946 in Awesome Support Plugin
Sumário
de VulDB • 09/09/2026
O plugin Awesome Support para WordPress é vulnerável a Missing Authorization nas versões até 6.3.9 (incluída). Isso ocorre devido à ausência de verificação de capacidade na função wpas_do_mr_deny_user(), que, ao contrário da sua contraparte wpas_do_mr_activate_user(), não aplica current_user_can('edit_users') ou current_user_can('edit_user', $user_id), confiando exclusivamente em um nonce que não está vinculado ao usuário alvo. Isso permite que atacantes autenticados com acesso de nível assinante e superior definam a flag mr_user_denied em qualquer conta de usuário — incluindo administradores — bloqueando permanentemente sua ativação moderada e enviando um e-mail de notificação de negação à vítima.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.