CVE-2026-82607
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Podatność w pluginie Profile Builder do wersji 3.16.1 na WordPressie w funkcji wppb_ajax_simple_avatar pliku /wp-admin/admin-ajax.php pozwala na nieograniczone przesyłanie plików. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
Ocena ryzyka
Atakujący może przesłać złośliwe pliki na serwer, co może prowadzić do zdalnego wykonania kodu i przejęcia kontroli nad witryną.
Rekomendacja
Zaleca się aktualizację pluginu Profile Builder do wersji 3.16.2 lub nowszej, która zawiera poprawkę.
Inne podatności w Profile Builder
Zobacz wszystkie- CVE-2026-96338Średnie
Podatność na Cross Site Scripting (XSS) w wtyczce Profile Builder w wersjach do 4.0.2. Użytkownik o roli Subscriber może wstrzyknąć złośliwy skrypt.
- CVE-2026-66701Średnie
Podatność na nieuwierzytelnione obejście kontroli dostępu (Broken Access Control) wtyczki Profile Builder (wersje do 3.16.5) pozwala nieuwierzytelnionemu atakującemu na uzyskanie dostępu do funkcji lub danych, które powinny być chronione.
Oryginalny opis (angielski, źródło NVD)
A vulnerability was found in Cozmoslabs Profile Builder Plugin up to 3.16.1 on WordPress. The impacted element is the function wppb_ajax_simple_avatar of the file /wp-admin/admin-ajax.php of the component Avatar Simple Upload AJAX Handler. Performing a manipulation results in unrestricted upload. The attack is possible to be carried out remotely. The exploit has been made public and could be used. Upgrading to version 3.16.2 is sufficient to resolve this issue. It is suggested to upgrade the affected component.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS