CVE-2026-19946 in Awesome Support Plugin
Сводка
по VulDB • 09.09.2026
Плагин Awesome Support для WordPress уязвим к Missing Authorization в версиях вплоть до 6.3.9 включительно. Это связано с отсутствием проверки прав доступа (capability check) в функции wpas_do_mr_deny_user(), которая, в отличие от своей аналогичной функции wpas_do_mr_activate_user(), не проверяет наличие прав current_user_can('edit_users') или current_user_can('edit_user', $user_id), полагаясь исключительно на nonce-токен, который не привязан к целевому пользователю. Это позволяет атакующим с уровнем доступа «subscriber» и выше устанавливать флаг mr_user_denied для любого аккаунта пользователя — включая администраторов, что навсегда блокирует их модерацию активации и отправляет уведомление об отказе жертве по электронной почте.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.