CVE-2026-3445
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka ProfilePress dla WordPressa do wersji 4.16.11 ma podatność umożliwiającą ominięcie płatności za członkostwo. Brak weryfikacji własności parametru change_plan_sub_id w funkcji process_checkout() pozwala uwierzytelnionym atakującym (od poziomu subskrybenta) na odwołanie się do aktywnej subskrypcji innego użytkownika, manipulując kalkulacjami proracji i uzyskując płatne plany dożywotnie bez płatności.
Ocena ryzyka
Atakujący mogą uzyskać płatne członkostwo bez ponoszenia kosztów, co prowadzi do strat finansowych.
Rekomendacja
Zaktualizuj wtyczkę ProfilePress do wersji 4.16.12 lub nowszej.
Inne podatności w ProfilePress
Zobacz wszystkie- CVE-2026-96518Średnie
Wtyczka ProfilePress (wp-user-avatar) zawiera podatność typu Missing Authorization, wynikającą z nieprawidłowo skonfigurowanej kontroli dostępu. Problem dotyczy wersji od n/a do 4.17.3 włącznie.
- CVE-2026-96337Średnie
Wtyczka ProfilePress (wp-user-avatar) zawiera podatność typu Missing Authorization, wynikającą z nieprawidłowo skonfigurowanej kontroli dostępu. Problem dotyczy wersji od n/a do 4.17.3 włącznie.
- CVE-2026-92551Średnie
Wtyczka ProfilePress dla WordPressa do wersji 4.17.4 włącznie jest podatna na odbity atak XSS przez parametr 'ppress_billing_address'. Niezalogowani atakujący mogą wstrzykiwać skrypty, które wykonają się po kliknięciu przez użytkownika w spreparowany link.
- CVE-2026-92536Wysokie
Wtyczka ProfilePress dla WordPressa jest podatna na ujawnienie wrażliwych informacji w wersjach do 4.17.4 włącznie przez funkcję get_user_profile_structure. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyżej mogą wyodrębnić adresy e-mail, nazwy logowania i daty rejestracji innych użytkowników. Gdy opcja users_can_register jest włączona, niezautentykowani atakujący mogą to wykorzystać przez rejestrację.
- CVE-2026-85658Wysokie
Wtyczka ProfilePress dla WordPressa w wersjach do 4.17.2 włącznie jest podatna na wykonanie dowolnych shortcode'ów. Wynika to z braku właściwej walidacji wartości przed uruchomieniem do_shortcode, co pozwala uwierzytelnionym użytkownikom z rolą subskrybenta i wyższą na wykonywanie dowolnych shortcode'ów.
- CVE-2026-66047Wysokie
Wtyczka ProfilePress (wp-user-avatar) dla WordPressa przed wersją 4.17.2 zawiera podatność na zdalne wykonanie kodu bez uwierzytelnienia. Atakujący może zainstalować i aktywować dowolne wtyczki poprzez brute-force słabego 32-bitowego tokena connect w handlerze AJAX ppress_connect_process, co prowadzi do wykonania kodu PHP jako użytkownik serwera WWW.
- CVE-2026-19848Średnie
Wtyczka ProfilePress dla WordPressa przed wersją 4.17.1 nie usuwa shortcode'ów z dwóch pól profilu przed ich wyświetleniem na publicznych stronach, co pozwala nieuwierzytelnionym atakującym na przechowywanie shortcode'ów, które są następnie wykonywane podczas przeglądania strony, ujawniając adres e-mail, login i datę rejestracji wybranego użytkownika.
- CVE-2026-18385Średnie
Wtyczka ProfilePress dla WordPressa do wersji 4.16.19 jest podatna na dowolne wykonanie shortcode'ów. Wynika to z braku odpowiedniej walidacji przed wywołaniem do_shortcode. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą wykonywać dowolne shortcode'y, a obejście częściowych zabezpieczeń jest możliwe przez różne ścieżki renderowania.
- CVE-2026-13352Wysokie
Wtyczka ProfilePress dla WordPressa do wersji 4.16.18 zawiera podatność na dowolne przesyłanie plików. Funkcja allowed_mime_types globalnie dodaje rozszerzenia wykonywalne (.exe, .apk, .msi) do listy dozwolonych typów MIME, bez ograniczenia do kontekstu produktów cyfrowych. Umożliwia to uwierzytelnionym atakującym z dostępem autora i wyższym przesyłanie plików, które mogą być wykonane, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-41556Średnie
W wersjach ProfilePress <= 4.16.13 występuje podatność na atak Cross Site Scripting (XSS) związana z subskrybentami.
Oryginalny opis (angielski, źródło NVD)
The Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content – ProfilePress plugin for WordPress is vulnerable to unauthorized membership payment bypass in all versions up to, and including, 4.16.11. This is due to a missing ownership verification on the `change_plan_sub_id` parameter in the `process_checkout()` function. This makes it possible for authenticated attackers, with subscriber level access and above, to reference another user's active subscription during checkout to manipulate proration calculations, allowing them to obtain paid lifetime membership plans without payment via the `ppress_process_checkout` AJAX action.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS