CVE-2026-19116

Wtyczka User Frontend dla WordPressa w wersjach do 4.3.1 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w funkcji payment_page(). Brak walidacji parametru 'user_id' umożliwia nieuwierzytelnionemu atakującemu aktywowanie darmowego pakietu subskrypcyjnego dla dowolnego użytkownika, nadpisując jego istniejącą płatną subskrypcję i powodując utratę płatnych funkcji.

Wtyczka User Frontend dla WordPressa przed wersją 4.3.11 nie egzekwuje wymogu zakupu subskrypcji podczas przetwarzania zgłoszeń z frontendu, tylko podczas renderowania formularza, co pozwala nieuwierzytelnionym użytkownikom tworzyć i, w zależności od konfiguracji formularza, natychmiast publikować posty przez formularze przeznaczone dla płacących subskrybentów.

Wtyczka User Frontend dla WordPressa przed wersją 4.3.10 nieprawidłowo waliduje definicje typów pól i deserializuje kontrolowane przez użytkownika metadane postów podczas renderowania przesłanych wpisów. Użytkownicy z dostępem na poziomie edytora i wyższym mogą wstrzykiwać dowolne obiekty PHP, co może prowadzić do zdalnego wykonania kodu, gdy na stronie istnieje odpowiedni łańcuch POP.

Wtyczka User Frontend dla WordPressa w wersjach do 4.3.7 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) przez parametr 'wpuf_files_data'. Brak walidacji klucza kontrolowanego przez użytkownika umożliwia nieuwierzytelnionym atakującym nadpisanie tytułu, treści i streszczenia dowolnego wpisu na stronie, w tym wpisów administratorów.

Wtyczka User Frontend dla WordPress w wersjach do 4.3.7 zawiera podatność na ominięcie autoryzacji. Niezautoryzowani atakujący mogą usuwać dowolne załączniki multimedialne, których autor ma ID 0, wykorzystując akcję AJAX wpuf_file_del.