CVE-2026-13352
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
Wtyczka ProfilePress dla WordPressa do wersji 4.16.18 zawiera podatność na dowolne przesyłanie plików. Funkcja allowed_mime_types globalnie dodaje rozszerzenia wykonywalne (.exe, .apk, .msi) do listy dozwolonych typów MIME, bez ograniczenia do kontekstu produktów cyfrowych. Umożliwia to uwierzytelnionym atakującym z dostępem autora i wyższym przesyłanie plików, które mogą być wykonane, co prowadzi do zdalnego wykonania kodu.
Ocena ryzyka
Organizacja narażona jest na zdalne wykonanie kodu przez uwierzytelnionych użytkowników z uprawnieniami autora lub wyższymi. Atakujący mogą przesłać złośliwe pliki wykonywalne, co może prowadzić do przejęcia kontroli nad serwerem WordPress.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę ProfilePress do najnowszej dostępnej wersji. Jeśli aktualizacja nie jest możliwa, tymczasowo wyłącz wtyczkę lub ogranicz uprawnienia użytkowników do poziomu poniżej autora.
Inne podatności w ProfilePress
Zobacz wszystkie- CVE-2026-96518Średnie
Wtyczka ProfilePress (wp-user-avatar) zawiera podatność typu Missing Authorization, wynikającą z nieprawidłowo skonfigurowanej kontroli dostępu. Problem dotyczy wersji od n/a do 4.17.3 włącznie.
- CVE-2026-96337Średnie
Wtyczka ProfilePress (wp-user-avatar) zawiera podatność typu Missing Authorization, wynikającą z nieprawidłowo skonfigurowanej kontroli dostępu. Problem dotyczy wersji od n/a do 4.17.3 włącznie.
- CVE-2026-92551Średnie
Wtyczka ProfilePress dla WordPressa do wersji 4.17.4 włącznie jest podatna na odbity atak XSS przez parametr 'ppress_billing_address'. Niezalogowani atakujący mogą wstrzykiwać skrypty, które wykonają się po kliknięciu przez użytkownika w spreparowany link.
- CVE-2026-92536Wysokie
Wtyczka ProfilePress dla WordPressa jest podatna na ujawnienie wrażliwych informacji w wersjach do 4.17.4 włącznie przez funkcję get_user_profile_structure. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyżej mogą wyodrębnić adresy e-mail, nazwy logowania i daty rejestracji innych użytkowników. Gdy opcja users_can_register jest włączona, niezautentykowani atakujący mogą to wykorzystać przez rejestrację.
- CVE-2026-85658Wysokie
Wtyczka ProfilePress dla WordPressa w wersjach do 4.17.2 włącznie jest podatna na wykonanie dowolnych shortcode'ów. Wynika to z braku właściwej walidacji wartości przed uruchomieniem do_shortcode, co pozwala uwierzytelnionym użytkownikom z rolą subskrybenta i wyższą na wykonywanie dowolnych shortcode'ów.
- CVE-2026-66047Wysokie
Wtyczka ProfilePress (wp-user-avatar) dla WordPressa przed wersją 4.17.2 zawiera podatność na zdalne wykonanie kodu bez uwierzytelnienia. Atakujący może zainstalować i aktywować dowolne wtyczki poprzez brute-force słabego 32-bitowego tokena connect w handlerze AJAX ppress_connect_process, co prowadzi do wykonania kodu PHP jako użytkownik serwera WWW.
- CVE-2026-19848Średnie
Wtyczka ProfilePress dla WordPressa przed wersją 4.17.1 nie usuwa shortcode'ów z dwóch pól profilu przed ich wyświetleniem na publicznych stronach, co pozwala nieuwierzytelnionym atakującym na przechowywanie shortcode'ów, które są następnie wykonywane podczas przeglądania strony, ujawniając adres e-mail, login i datę rejestracji wybranego użytkownika.
- CVE-2026-18385Średnie
Wtyczka ProfilePress dla WordPressa do wersji 4.16.19 jest podatna na dowolne wykonanie shortcode'ów. Wynika to z braku odpowiedniej walidacji przed wywołaniem do_shortcode. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą wykonywać dowolne shortcode'y, a obejście częściowych zabezpieczeń jest możliwe przez różne ścieżki renderowania.
- CVE-2026-41556Średnie
W wersjach ProfilePress <= 4.16.13 występuje podatność na atak Cross Site Scripting (XSS) związana z subskrybentami.
- CVE-2026-3309Średnie
Wtyczka ProfilePress dla WordPress do wersji 4.16.11 umożliwia wykonanie dowolnych shortcode'ów. Dzieje się tak, ponieważ wartości pól billingowych z procesu zamówienia są interpolowane do szablonów shortcode'ów bez odpowiedniego oczyszczania. Niezautoryzowani atakujący mogą wykonać dowolne shortcode'y, przesyłając spreparowane wartości pól podczas zamówienia.
Oryginalny opis (angielski, źródło NVD)
The Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content – ProfilePress plugin for WordPress is vulnerable to Arbitrary File Upload in all versions up to, and including, 4.16.18 via the allowed_mime_types function. This is due to the unconditional registration of an upload_mimes filter that adds executable file extensions (.exe, .apk, .msi) to the global WordPress MIME allowlist, without scoping the expansion to digital-product upload contexts. This makes it possible for authenticated attackers, with author-level access and above, to upload files that may be executable, which makes remote code execution possible. This filter is registered globally on every request regardless of whether the digital products feature is configured or in use, meaning the expanded MIME allowlist affects all WordPress upload contexts site-wide.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS