CVE-2026-100186

Wtyczka User Profile Builder dla WordPressa (wersje do 4.0.3 włącznie) jest podatna na eskalację uprawnień poprzez parametr 'role' obsługiwany przez funkcję wppb_add_meta_to_user_on_activation(). Nieuwierzytelniony atakujący może uzyskać w pełni aktywne konto administratora WordPressa, przesyłając role=administrator przez publiczny formularz rejestracji i klikając link aktywacyjny.

Wtyczka User Profile Builder dla WordPressa do wersji 3.16.4 włącznie jest podatna na obejście uwierzytelniania przez pomylenie typów. Funkcja wppb_log_in_user() wywołuje absint() na wyniku wp_insert_user() przed sprawdzeniem is_wp_error(). Gdy rejestracja zawiera nazwę użytkownika o długości 61–70 znaków, WordPress odrzuca ją obiektem WP_Error, ale absint() zamienia ten obiekt na liczbę 1, co powoduje, że wtyczka tworzy i zwraca tymczasowy nonce do automatycznego logowania powiązany z ID użytkownika 1. Umożliwia to niezalogowanym atakującym zalogowanie się jako administrator (ID 1) i pełne przejęcie witryny.

Wtyczka User Profile Builder – Beautiful User Registration Forms, User Profiles & User Role Editor dla WordPressa (do wersji 4.0.2 włącznie) jest podatna na przechowywany cross-site scripting (XSS) poprzez pole Avatar z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Umożliwia to nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów internetowych do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę. Gałąź zerowej długości pliku multipart w wppb_save_avatar_value() zapisuje surową wartość żądania bezpośrednio do meta użytkownika, omijając ścieżkę walidacji wppb_save_attachment_id()/wppb_verify_attachment_id(); przechowywany ładunek jest później przyjmowany jako URL załącznika WordPress i renderowany bez escapowania przez wppb_default_fields_make_upload_button(), gdy administrator wyświetla dotknięte konto.

Wtyczka User Profile Builder dla WordPress jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez pole Avatar w wersjach do 4.0.2 włącznie z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Luka jest wykorzystywana przez żądanie GET do /wp-admin/profile.php bez nonce, bez konieczności wysyłania formularza profilu.

Wtyczka User Profile Builder dla WordPressa do wersji 3.15.7 włącznie jest podatna na przechowywany atak XSS przez pole meta 'Biographical Info'. Brak odpowiedniej sanityzacji wejścia i escapingu wyjścia umożliwia nieuwierzytelnionym atakującym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.

Wtyczka User Profile Builder dla WordPressa jest podatna na trwały atak XSS poprzez parametr 'email' we wszystkich wersjach do 4.0.0 włącznie. Atakujący bez uwierzytelnienia może wstrzyknąć złośliwe skrypty, które wykonają się, gdy administrator odwiedzi listę niepotwierdzonych adresów e-mail i kliknie linki akcji.

Wtyczka User Profile Builder – Beautiful User Registration Forms, User Profiles & User Role Editor dla WordPressa jest podatna na Stored Cross-Site Scripting przez atrybut 'date' w shortcode'ach we wszystkich wersjach do 4.0.0 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributora i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymaga to ustawienia opcji wppb_toolbox_shortcodes_settings[format-date] na 'yes' przez administratora, aby shortcode był aktywny i podatność możliwa do wykorzystania.

Wtyczka WordPress User Profile Builder przed wersją 4.0.1 nie ogranicza prawidłowo funkcji przesyłania plików na froncie, przyznając nieuwierzytelnionym odwiedzającym uprawnienia zarezerwowane dla uprzywilejowanych ról. Umożliwia to przeglądanie biblioteki multimediów witryny oraz modyfikowanie nieopublikowanych wpisów, stron i elementów multimedialnych należących do innych użytkowników.

Wtyczka WordPress User Profile Builder przed wersją 4.0.1 nie weryfikuje typu danych podczas deserializacji podczas importowania pliku konfiguracyjnego, umożliwiając użytkownikom z wysokimi uprawnieniami, takim jak administratorzy, przeprowadzenie ataku PHP Object Injection. Dotknięta funkcja jest darmowym dodatkiem domyślnie wyłączonym, a w samej wtyczce nie ma łańcucha POP, więc dalszy wpływ wymaga odpowiedniego gadżetu z innej zainstalowanej wtyczki.

Wtyczka WordPress User Profile Builder przed wersją 4.0.1 nie escapuje danych wyjściowych jednego ze swoich opcjonalnych shortcode'ów, umożliwiając użytkownikom z rolą co najmniej contributora przeprowadzenie ataku Stored Cross-Site Scripting na każdego użytkownika przeglądającego dotkniętą treść, w tym administratorów. Shortcode nie jest domyślnie włączony.