CVE-2025-5956 in WP Human Resource Management Plugin
Tóm tắt
Bởi VulDB • 02/06/2026
Plugin WP Human Resource Management cho WordPress dễ bị xóa người dùng tùy ý do thiếu cơ chế xác thực trong hàm ajax_delete_employee() ở các phiên bản từ 2.0.0 đến 2.2.17. Trình xử lý xóa của plugin đọc mảng $_POST['delete'] do người dùng cung cấp và truyền trực tiếp từng ID vào wp_delete_user() mà không xác minh xem người gọi có quyền delete_users hay không, cũng như không giới hạn các ID người dùng có thể bị xóa. Điều này cho phép những kẻ tấn công đã xác thực, có quyền truy cập cấp Nhân viên trở lên, xóa các tài khoản tùy ý, bao gồm cả tài khoản quản trị viên.
If you want to get best quality of vulnerability data, you may have to visit VulDB.