CVE-2026-12690
NiskieCVSS 3.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka WordPress ProfileGrid przed wersją 5.9.9.7 nie sprawdza uprawnień w akcjach zarządzania licencjami, polegając wyłącznie na nonce, które jest dostępne dla każdego zalogowanego użytkownika, co pozwala uwierzytelnionym użytkownikom z dostępem na poziomie Subskrybenta i wyższym na nadpisywanie ustawień licencji premium witryny.
Ocena ryzyka
Użytkownicy o niskich uprawnieniach mogą zmienić ustawienia licencji premium, co może prowadzić do nieautoryzowanego dostępu do funkcji premium lub zakłócenia działania wtyczki.
Rekomendacja
Należy zaktualizować wtyczkę ProfileGrid do wersji 5.9.9.7 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
The ProfileGrid WordPress plugin before 5.9.9.7 does not perform a capability check on its license management actions, relying only on a nonce that is exposed to any logged-in user, allowing authenticated users with Subscriber-level access and above to overwrite the site's premium license settings.