CVE-2026-4977

UsersWP – Front-end login form, User Registration, User Profile & Members Directory plugin for WordPress versões até e incluindo 1.2.58

O plugin é suscetível a Controle de Acesso Impróprio devido à validação insuficiente do nível de permissão do campo dentro do manipulador AJAX upload file remove(). O parâmetro $htmlvar não é validado em relação a uma lista de permissões de campos permitidos ou verificado em relação à propriedade for admin use do campo. Isso permite que invasores autenticados com acesso de nível de assinante ou superior modifiquem colunas usermeta restritas para sua própria conta de usuário, ignorando as restrições de acesso pretendidas.

Atualize para uma versão superior a 1.2.58.