CVE-2026-15312

Nome do Software Vulnerável e Versões Afetadas Propovoice: All-in-One Client Management System versões anteriores a 1.7.9

Descrição Existe um problema onde o endpoint REST da função create() falha ao validar o parâmetro role fornecido pelo usuário em relação a uma lista de funções permitidas do WordPress e não realiza uma verificação de capacidade promote users antes de passar o valor para WP User::set role(). Isso permite que atacantes autenticados com nível de acesso ndpv manager ou superior—uma função de equipe de CRM sub-administradora—criem uma nova conta de usuário do WordPress com a função administrator, resultando em escalonamento vertical de privilégios.

Recomendações Atualize o Propovoice: All-in-One Client Management System para a versão 1.7.9 ou posterior.