CVE-2026-5459
ŚrednieCVSS 5.3Streszczenie
Wtyczka User Frontend dla WordPressa w wersjach do 4.3.1 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w funkcji payment_page(). Brak walidacji parametru 'user_id' umożliwia nieuwierzytelnionemu atakującemu aktywowanie darmowego pakietu subskrypcyjnego dla dowolnego użytkownika, nadpisując jego istniejącą płatną subskrypcję i powodując utratę płatnych funkcji.
Ocena ryzyka
Organizacja może ponieść straty finansowe i utratę zaufania klientów, gdyż atakujący może bezpłatnie anulować płatne subskrypcje użytkowników, pozbawiając ich zakupionych funkcji premium.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę User Frontend do najnowszej dostępnej wersji, która zawiera poprawkę eliminującą podatność IDOR. Jeśli aktualizacja nie jest dostępna, tymczasowo wyłącz wtyczkę do czasu wydania łatki.
Inne podatności w User Frontend
Zobacz wszystkie- CVE-2026-14558Wysokie
Wtyczka User Frontend dla WordPressa przed wersją 4.3.10 nieprawidłowo waliduje definicje typów pól i deserializuje kontrolowane przez użytkownika metadane postów podczas renderowania przesłanych wpisów. Użytkownicy z dostępem na poziomie edytora i wyższym mogą wstrzykiwać dowolne obiekty PHP, co może prowadzić do zdalnego wykonania kodu, gdy na stronie istnieje odpowiedni łańcuch POP.
- CVE-2026-12418Średnie
Wtyczka User Frontend dla WordPressa w wersjach do 4.3.7 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) przez parametr 'wpuf_files_data'. Brak walidacji klucza kontrolowanego przez użytkownika umożliwia nieuwierzytelnionym atakującym nadpisanie tytułu, treści i streszczenia dowolnego wpisu na stronie, w tym wpisów administratorów.
- CVE-2026-12406Średnie
Wtyczka User Frontend dla WordPress w wersjach do 4.3.7 zawiera podatność na ominięcie autoryzacji. Niezautoryzowani atakujący mogą usuwać dowolne załączniki multimedialne, których autor ma ID 0, wykorzystując akcję AJAX wpuf_file_del.
Oryginalny opis (angielski, źródło NVD)
The User Frontend: AI Powered Frontend Posting, User Directory, Profile, Membership & User Registration plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 4.3.1 via the payment_page() function due to missing validation on the 'user_id' user controlled key. This makes it possible for unauthenticated attackers to activate a free subscription pack for any user on the site, overwriting their existing paid subscription and causing loss of paid features.