CVE-2026-66047
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 44 - wyżej niż 44% wszystkich znanych CVE
Streszczenie
Wtyczka ProfilePress (wp-user-avatar) dla WordPressa przed wersją 4.17.2 zawiera podatność na zdalne wykonanie kodu bez uwierzytelnienia. Atakujący może zainstalować i aktywować dowolne wtyczki poprzez brute-force słabego 32-bitowego tokena connect w handlerze AJAX ppress_connect_process, co prowadzi do wykonania kodu PHP jako użytkownik serwera WWW.
Ocena ryzyka
Nieuwierzytelniony atakujący może wykonać dowolny kod PHP na serwerze, co może prowadzić do pełnej kompromitacji witryny i serwera.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę do wersji 4.17.2 lub nowszej oraz wzmocnić tokeny połączenia.
Inne podatności w ProfilePress
Zobacz wszystkie- CVE-2026-85658Wysokie
Wtyczka ProfilePress dla WordPressa w wersjach do 4.17.2 włącznie jest podatna na wykonanie dowolnych shortcode'ów. Wynika to z braku właściwej walidacji wartości przed uruchomieniem do_shortcode, co pozwala uwierzytelnionym użytkownikom z rolą subskrybenta i wyższą na wykonywanie dowolnych shortcode'ów.
- CVE-2026-19848Średnie
Wtyczka ProfilePress dla WordPressa przed wersją 4.17.1 nie usuwa shortcode'ów z dwóch pól profilu przed ich wyświetleniem na publicznych stronach, co pozwala nieuwierzytelnionym atakującym na przechowywanie shortcode'ów, które są następnie wykonywane podczas przeglądania strony, ujawniając adres e-mail, login i datę rejestracji wybranego użytkownika.
- CVE-2026-18385Średnie
Wtyczka ProfilePress dla WordPressa do wersji 4.16.19 jest podatna na dowolne wykonanie shortcode'ów. Wynika to z braku odpowiedniej walidacji przed wywołaniem do_shortcode. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą wykonywać dowolne shortcode'y, a obejście częściowych zabezpieczeń jest możliwe przez różne ścieżki renderowania.
- CVE-2026-13352Wysokie
Wtyczka ProfilePress dla WordPressa do wersji 4.16.18 zawiera podatność na dowolne przesyłanie plików. Funkcja allowed_mime_types globalnie dodaje rozszerzenia wykonywalne (.exe, .apk, .msi) do listy dozwolonych typów MIME, bez ograniczenia do kontekstu produktów cyfrowych. Umożliwia to uwierzytelnionym atakującym z dostępem autora i wyższym przesyłanie plików, które mogą być wykonane, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-41556Średnie
W wersjach ProfilePress <= 4.16.13 występuje podatność na atak Cross Site Scripting (XSS) związana z subskrybentami.
- CVE-2026-3309Średnie
Wtyczka ProfilePress dla WordPress do wersji 4.16.11 umożliwia wykonanie dowolnych shortcode'ów. Dzieje się tak, ponieważ wartości pól billingowych z procesu zamówienia są interpolowane do szablonów shortcode'ów bez odpowiedniego oczyszczania. Niezautoryzowani atakujący mogą wykonać dowolne shortcode'y, przesyłając spreparowane wartości pól podczas zamówienia.
- CVE-2026-3445Wysokie
Wtyczka ProfilePress dla WordPressa do wersji 4.16.11 ma podatność umożliwiającą ominięcie płatności za członkostwo. Brak weryfikacji własności parametru change_plan_sub_id w funkcji process_checkout() pozwala uwierzytelnionym atakującym (od poziomu subskrybenta) na odwołanie się do aktywnej subskrypcji innego użytkownika, manipulując kalkulacjami proracji i uzyskując płatne plany dożywotnie bez płatności.
Oryginalny opis (angielski, źródło NVD)
ProfilePress (wp-user-avatar) WordPress plugin before 4.17.2 contains an unauthenticated remote code execution vulnerability that allows unauthenticated attackers to install and activate arbitrary plugins by brute-forcing a weak 32-bit connect token via the ppress_connect_process AJAX handler. Attackers can supply a caller-controlled URL through the file request parameter to trigger silent plugin installation and activation, achieving PHP code execution as the web-server user.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS