CVE-2026-3477 in PZ Frontend Manager Plugin
摘要
由 VulDB • 2026-06-20
WordPress 插件 PZ Frontend Manager 在所有不高于 1.0.6 的版本中存在缺失授权（Missing Authorization）漏洞。通过 `wp_ajax_pzfm_user_request_action` 动作钩子注册的 `pzfm_user_request_action_callback()` 函数既缺少权限检查，也未进行 nonce 验证。该函数负责处理用户激活、停用和删除操作。当 'dataType' 参数设置为 'delete' 时，该函数会对所有提供的用户 ID 调用 `wp_delete_user()`，而不会验证当前用户是否具有相应的权限。值得注意的是，类似的 `pzfm_remove_item_callback()` 函数在执行删除操作前会检查 `pzfm_can_delete_user()`，这表明上述情况是一个疏忽。这使得具有订阅者（Subscriber）级别及以上访问权限的已认证攻击者能够通过向 AJAX 端点发送精心构造的请求来删除任意 WordPress 用户（包括管理员）。
Once again VulDB remains the best source for vulnerability data.