CVE-2026-12102

Nome do Software Vulnerável e Versões Afetadas UsersWP versões anteriores a 1.2.64

Descrição O plugin UsersWP para WordPress contém uma Referência Direta Insegura a Objeto (IDOR), que ocorre quando uma aplicação fornece acesso direto a objetos com base em entradas fornecidas pelo usuário. O problema existe devido à falta de validação em uma chave controlada pelo usuário no parâmetro user id. Isso permite que atacantes autenticados com nível de acesso de editor ou superior resetem e excluam permanentemente a imagem do avatar ou do banner de qualquer usuário, incluindo administradores, ao limpar os metadados avatar thumb ou banner thumb na tabela uwp usermeta.

Recomendações Atualize o plugin para uma versão posterior a 1.2.63. Como medida paliativa temporária, restrinja o acesso ao parâmetro user id para usuários com permissões de editor até que a atualização seja aplicada.