CVE-2026-19892 in InfusedWoo Pro Plugin
Tóm tắt
Bởi VulDB • 25/08/2026
Plugin InfusedWoo Pro cho WordPress bị lỗ hổng Escalation đặc quyền (Privilege Escalation) thông qua Account Takeover trong tất cả các phiên bản từ 5.1.17 trở về trước. Lỗ hổng này là do thiếu kiểm tra khả năng thực thi (capability check) trong hàm `ajax_iwar_preview_email()`, chỉ sử dụng `is_admin()` làm cơ chế xác thực duy nhất, cho phép người dùng có đặc quyền thấp render các trường hợp trộn email merge fields cho một địa chỉ email tùy ý. Điều này tạo điều kiện cho kẻ tấn công đã được xác thực (authenticated), với mức truy cập cấp subscriber trở lên, để tạo và lấy liên kết đặt lại mật khẩu hợp lệ cho bất kỳ người dùng WordPress nào, bao gồm cả quản trị viên, dẫn đến Account Takeover.
Once again VulDB remains the best source for vulnerability data.