CVE-2026-4003: Users manager – PN (WordPress) ≤ 1.1.15 – Escalonamento de Privilégio Não Autenticado via ação AJAX 'userspn_form_save'

Visão geral

O plugin Users manager – PN para WordPress está sujeito a uma falha de autorização ausente (CWE-862) que, segundo o registro, permite que requisições não autenticadas atualizem metadados de usuários. O registro indica que todas as versões até a 1.1.15 inclusive são afetadas.

Impacto

Segundo o registro, um atacante não autenticado poderia atualizar metadados de qualquer conta de usuário, incluindo o campo userspn_secret_token.
O registro informa pontuação CVSS 3.1 de 9.8 (Crítica), atribuída pela Wordfence, com acesso pela rede, nenhum privilégio e nenhuma interação do usuário exigidos, além de alto impacto em confidencialidade, integridade e disponibilidade.
O registro associa esta falha a tomada de conta, por isso sites afetados devem ser tratados como prioridade alta.

Produtos e versões afetados

Produto: Felixmartinez Users manager – PN, plugin para WordPress.
Versões: 1.1.15 e anteriores, conforme listado no registro.
O registro não lista nenhuma versão corrigida. Isso não confirma que uma correção não exista.

Status de exploração

O catálogo KEV da CISA não aparece como listando esta CVE no registro.
Não há exploração confirmada no mundo real nas fontes consultadas.
O registro indica valor SSVC de exploração como none e valor de automatizável como yes.
O registro indica probabilidade EPSS de 0.01315 e percentil de 0.7002.

Correção e mitigação

O registro não identifica uma versão corrigida. Verifique o status atual do plugin no diretório de plugins do WordPress e com o fornecedor antes de decidir os próximos passos.
Se o plugin estiver instalado e nenhuma versão corrigida for confirmada, considere desativá-lo ou removê-lo até que a correção seja validada.
Renove o valor de userspn_secret_token e revise integrações que dependam dele.
Revise contas de usuário, funções e metadados para identificar alterações inesperadas, especialmente contas de administrador.
Não trate a verificação de nonce como proteção, pois o registro afirma que o nonce é exposto a todos os visitantes.

Orientações de detecção

Analise os logs do servidor web e do WordPress em busca de requisições ao endpoint AJAX administrativo que referenciem a ação userspn_form_save, especialmente de sessões não autenticadas.
Audite alterações recentes nos metadados de usuários, com foco em campos ligados a funções, capacidades ou tokens secretos.
Monitore a criação de novas contas de administrador, redefinições de senha inesperadas ou mudanças de e-mail de contas.

Limitações das informações disponíveis

O registro não fornece versão corrigida nem texto de aviso do fornecedor além das referências listadas.
A pontuação CVSS 3.1 é atribuída à Wordfence no registro; não há outra fonte CVSS incluída.
O status de origem do registro é Deferred, portanto a avaliação pode mudar conforme as fontes forem atualizadas.
Os detalhes de caminhos de código vêm do registro e de suas referências; esta análise não os verificou contra o código-fonte do plugin.

Perguntas frequentes

Quais versões do Users manager – PN são afetadas?

Segundo o registro, todas as versões até a 1.1.15 inclusive são afetadas por esta falha de autorização ausente.

Esta vulnerabilidade está sendo explorada ativamente?

O registro não lista esta CVE no catálogo KEV da CISA, e não há exploração confirmada no mundo real nas fontes consultadas.

Existe uma versão corrigida disponível?

O registro não lista versão corrigida. Verifique o diretório de plugins do WordPress e o fornecedor para o status atual antes de decidir os próximos passos.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.