CVE-2026-15312
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Wtyczka Propovoice dla WordPressa do wersji 1.7.8 włącznie jest podatna na eskalację uprawnień. Funkcja create() w punkcie REST nie waliduje parametru role względem dozwolonych ról i nie sprawdza uprawnienia promote_users, przekazując wartość bezpośrednio do WP_User::set_role(). Uwierzytelnieni atakujący z dostępem na poziomie ndpv_manager mogą utworzyć konto administratora.
Ocena ryzyka
Użytkownik z ograniczonymi uprawnieniami menedżera może uzyskać pełne uprawnienia administratora, co prowadzi do całkowitej kompromitacji witryny.
Rekomendacja
Zaktualizuj wtyczkę Propovoice do najnowszej wersji z poprawką. Ogranicz przyznawanie roli ndpv_manager tylko zaufanym użytkownikom.
Oryginalny opis (angielski, źródło NVD)
The Propovoice: All-in-One Client Management System plugin for WordPress is vulnerable to Privilege Escalation in all versions up to, and including, 1.7.8. This is due to the `create()` function's REST endpoint failing to validate the user-supplied `role` parameter against an allowlist of permitted WordPress roles and omitting any `promote_users` capability check before passing the sanitized value directly to `WP_User::set_role()`. This makes it possible for authenticated attackers with `ndpv_manager`-level access and above to create a new WordPress user account with the `administrator` role assigned, achieving full vertical privilege escalation. The `ndpv_manager` capability is a sub-administrator CRM team role granted by Propovoice itself, meaning the attack surface extends beyond site administrators to any user the plugin has elevated to a manager position.