PT-2026-36617 · WordPress · Wcfm – Frontend Manager For Woocommerce+1

Supakiad S · Publicado 2026-05-02 · Atualizado 2026-05-02 · CVE-2026-2554

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas WCFM – Frontend Manager for WooCommerce along with Bookings Subscription Listings Compatible plugin for WordPress versões anteriores a 6.7.26

Descrição Uma Referência Direta Insegura a Objeto (IDOR) existe devido à falta de validação na chave controlada pelo usuário customerid dentro da função 'wcfm delete wcfm customer'. Isso permite que atacantes autenticados com nível de acesso de Vendedor ou superior excluam usuários arbitrários, incluindo Administradores. IDOR é um tipo de falha de controle de acesso que ocorre quando uma aplicação fornece acesso direto a objetos com base em entradas fornecidas pelo usuário.

Recomendações Atualize o plugin para uma versão posterior a 6.7.25.

Correção

IDOR

Enumeração de Fraquezas

CWE-639

Identificadores relacionados

CVE-2026-2554

Produtos afetados

Bookings Subscription Listings Compatible

Wcfm – Frontend Manager For Woocommerce

Referências · 6

• https://plugins.trac.wordpress.org/browser/wc-frontend-manager/tags/6.7.24/core/class-wcfm-customer.php#L386 · Nota
• https://t.me/CVEtracker/52534 · Publicação no Telegram
• https://plugins.trac.wordpress.org/changeset/3483695 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/21e397a4-0b32-4b13-a46b-c465acea0796?source=cve · Nota
• https://t.me/cveNotify/161875 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2026-2554 · Nota de Segurança