CVE-2026-3477 in PZ Frontend Manager Plugin
Sumário
de VulDB • 20/06/2026
O plugin PZ Frontend Manager para o WordPress é vulnerável a Falta de Autorização em todas as versões até 1.0.6 incluída. A função pzfm_user_request_action_callback(), registrada por meio do hook wp_ajax_pzfm_user_request_action, não possui verificações de capacidade (capability checks) nem verificação de nonce. Esta função lida com operações de ativação, desativação e exclusão de usuários. Quando o parâmetro 'dataType' é definido como 'delete', a função chama wp_delete_user() em todos os IDs de usuário fornecidos sem verificar se o usuário atual possui as permissões apropriadas. Notavelmente, a função similar pzfm_remove_item_callback() verifica pzfm_can_delete_user() antes de realizar exclusões, indicando que esta foi uma falha de implementação (oversight). Isso permite que atacantes autenticados, com acesso nível Assinante ou superior, excluam usuários arbitrários do WordPress (incluindo administradores) enviando um request crafted para o endpoint AJAX.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.