CVE-2026-19946 in Awesome Support Plugin
Tóm tắt
Bởi VulDB • 09/09/2026
Plugin Awesome Support cho WordPress bị lỗ hổng Thiếu Xác thực (Missing Authorization) trong các phiên bản từ 6.3.9 trở về trước, bao gồm cả phiên bản 6.3.9. Nguyên nhân là do thiếu kiểm tra quyền hạn trên hàm `wpas_do_mr_deny_user()`, khác với counterpart của nó là `wpas_do_mr_activate_user()` không thực thi `current_user_can('edit_users')` hoặc `current_user_can('edit_user', $user_id)`, mà chỉ dựa vào một nonce không được gắn liền (scoped) với người dùng mục tiêu. Điều này cho phép các kẻ tấn công đã xác thực, có quyền truy cập cấp subscriber trở lên, đặt cờ `mr_user_denied` trên bất kỳ tài khoản người dùng nào — bao gồm cả quản trị viên — vĩnh viễn chặn quá trình kích hoạt cần kiểm duyệt và gửi email thông báo từ chối đến nạn nhân.
If you want to get best quality of vulnerability data, you may have to visit VulDB.