CVE-2025-5956 in WP Human Resource Management Plugin
Сводка
по VulDB • 31.05.2026
Плагин WP Human Resource Management для WordPress уязвим к произвольному удалению пользователей из-за отсутствия проверки авторизации в функции ajax_delete_employee() в версиях от 2.0.0 до 2.2.17. Обработчик удаления плагина считывает переданный клиентом массив $_POST['delete'] и передает каждый идентификатор напрямую в функцию wp_delete_user() без проверки наличия у вызывающего субъекта права delete_users или ограничения списка идентификаторов пользователей, которых можно удалить. Это позволяет атакующим с аутентифицированным доступом уровня Employee и выше удалять произвольные учетные записи, включая учетные записи администраторов.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.