CVE-2026-111965
ŚrednieCVSS 4.3Streszczenie
Wtyczka WordPress Profile Builder w wersjach od 4.0.0 do 4.0.4 nie wymusza weryfikacji reCAPTCHA na wszystkich ścieżkach przesyłania komentarzy. Umożliwia to uwierzytelnionym użytkownikom obejście ochrony antyspamowej skonfigurowanej przez administratora dla formularza komentarzy WordPress.
Ocena ryzyka
Uwierzytelnieni użytkownicy mogą omijać ochronę antyspamową, co prowadzi do zaśmiecania komentarzy i potencjalnego rozpowszechniania złośliwych treści.
Rekomendacja
Zaktualizuj wtyczkę Profile Builder do wersji zawierającej poprawkę i monitoruj formularz komentarzy pod kątem spamu.
Inne podatności w Profile Builder
Zobacz wszystkie- CVE-2026-96338Średnie
Podatność na Cross Site Scripting (XSS) w wtyczce Profile Builder w wersjach do 4.0.2. Użytkownik o roli Subscriber może wstrzyknąć złośliwy skrypt.
- CVE-2026-54855Wysokie
Wtyczka Profile Builder w wersjach do 4.0.5 zawiera podatność typu Cross Site Scripting (XSS), którą można wykorzystać bez uwierzytelnienia. Opis nie precyzuje wektora ani parametru podatnego na wstrzyknięcie.
- CVE-2026-54854Średnie
Wtyczka Profile Builder w wersjach do 4.0.5 zawiera podatność umożliwiającą użytkownikowi z rolą Contributor podniesienie uprawnień. Może to pozwolić na uzyskanie dostępu do funkcji zastrzeżonych dla wyższych ról.
- CVE-2026-54853Średnie
Podatność braku autoryzacji w wtyczce Profile Builder (profile-builder) firmy Cozmoslabs pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 4.0.5.
- CVE-2026-112242Wysokie
Wtyczka Profile Builder firmy Cozmoslabs (wersje do 4.0.4) zawiera podatność nieprawidłowego przypisania uprawnień, która umożliwia eskalację uprawnień. Może to pozwolić użytkownikom o niskich uprawnieniach na uzyskanie wyższych uprawnień w witrynie WordPress.
- CVE-2026-82607Wysokie
Podatność w pluginie Profile Builder do wersji 3.16.1 na WordPressie w funkcji wppb_ajax_simple_avatar pliku /wp-admin/admin-ajax.php pozwala na nieograniczone przesyłanie plików. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2026-66701Średnie
Podatność na nieuwierzytelnione obejście kontroli dostępu (Broken Access Control) wtyczki Profile Builder (wersje do 3.16.5) pozwala nieuwierzytelnionemu atakującemu na uzyskanie dostępu do funkcji lub danych, które powinny być chronione.
Oryginalny opis (angielski, źródło NVD)
The Profile Builder WordPress plugin from 4.0.0 to 4.0.4 does not enforce its reCAPTCHA verification on all comment submission paths, allowing authenticated users to bypass the anti-spam protection an administrator configured for the WordPress comment form.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS