CVE-2025-5956

Nome do Software Vulnerável e Versões Afetadas: Plugin WP Human Resource Management para WordPress versões 2.0.0 até 2.2.17

Descrição: O problema surge devido a uma ausência de autorização dentro da função ajax delete employee(), permitindo que atacantes autenticados com acesso de nível de Funcionário ou superior excluam contas arbitrárias, incluindo administradores. Isso é possível porque o manipulador de exclusão do plugin lê o array $ POST['delete'] fornecido pelo cliente e passa cada ID diretamente para wp delete user() sem verificar a capacidade delete users do chamador ou limitar quais IDs de usuário podem ser removidos.

Recomendações: Para o plugin WP Human Resource Management para WordPress versões 2.0.0 até 2.2.17, considere desativar a função ajax delete employee() até que um patch esteja disponível para prevenir a exclusão arbitrária de usuários. Restrinja o acesso ao manipulador de exclusão para minimizar o risco de exploração. Evite usar o array $ POST['delete'] no endpoint da API afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.