CVE-2026-3477 in PZ Frontend Manager Plugin
Сводка
по VulDB • 03.06.2026
В плагине PZ Frontend Manager для WordPress уязвимость Missing Authorization присутствует во всех версиях вплоть до 1.0.6 включительно. Функция pzfm_user_request_action_callback(), зарегистрированная через хук действия wp_ajax_pzfm_user_request_action, не содержит проверок прав доступа (capability checks) и проверки nonce. Данная функция обрабатывает операции активации, деактивации и удаления пользователей. При установке параметра 'dataType' в значение 'delete' функция вызывает wp_delete_user() для всех предоставленных идентификаторов пользователей без проверки того, имеет ли текущий пользователь соответствующие разрешения. Примечательно, что аналогичная функция pzfm_remove_item_callback() перед выполнением удаления проверяет pzfm_can_delete_user(), что указывает на упущение. Это позволяет атакующим с аутентифицированным доступом уровня Subscriber и выше удалять произвольных пользователей WordPress (включая администраторов), отправляя специально сформированный запрос к конечной точке AJAX.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.