CVE-2026-92536
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 49 - wyżej niż 49% wszystkich znanych CVE
Streszczenie
Wtyczka ProfilePress dla WordPressa jest podatna na ujawnienie wrażliwych informacji w wersjach do 4.17.4 włącznie przez funkcję get_user_profile_structure. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyżej mogą wyodrębnić adresy e-mail, nazwy logowania i daty rejestracji innych użytkowników. Gdy opcja users_can_register jest włączona, niezautentykowani atakujący mogą to wykorzystać przez rejestrację.
Ocena ryzyka
Ryzyko obejmuje naruszenie prywatności użytkowników, co może prowadzić do ataków phishingowych lub kradzieży tożsamości.
Rekomendacja
Zaleca się aktualizację wtyczki ProfilePress do wersji nowszej niż 4.17.4 oraz rozważenie wyłączenia opcji rejestracji, jeśli nie jest konieczna.
Inne podatności w ProfilePress
Zobacz wszystkie- CVE-2026-92551Średnie
Wtyczka ProfilePress dla WordPressa do wersji 4.17.4 włącznie jest podatna na odbity atak XSS przez parametr 'ppress_billing_address'. Niezalogowani atakujący mogą wstrzykiwać skrypty, które wykonają się po kliknięciu przez użytkownika w spreparowany link.
- CVE-2026-85658Wysokie
Wtyczka ProfilePress dla WordPressa w wersjach do 4.17.2 włącznie jest podatna na wykonanie dowolnych shortcode'ów. Wynika to z braku właściwej walidacji wartości przed uruchomieniem do_shortcode, co pozwala uwierzytelnionym użytkownikom z rolą subskrybenta i wyższą na wykonywanie dowolnych shortcode'ów.
- CVE-2026-66047Wysokie
Wtyczka ProfilePress (wp-user-avatar) dla WordPressa przed wersją 4.17.2 zawiera podatność na zdalne wykonanie kodu bez uwierzytelnienia. Atakujący może zainstalować i aktywować dowolne wtyczki poprzez brute-force słabego 32-bitowego tokena connect w handlerze AJAX ppress_connect_process, co prowadzi do wykonania kodu PHP jako użytkownik serwera WWW.
- CVE-2026-19848Średnie
Wtyczka ProfilePress dla WordPressa przed wersją 4.17.1 nie usuwa shortcode'ów z dwóch pól profilu przed ich wyświetleniem na publicznych stronach, co pozwala nieuwierzytelnionym atakującym na przechowywanie shortcode'ów, które są następnie wykonywane podczas przeglądania strony, ujawniając adres e-mail, login i datę rejestracji wybranego użytkownika.
- CVE-2026-18385Średnie
Wtyczka ProfilePress dla WordPressa do wersji 4.16.19 jest podatna na dowolne wykonanie shortcode'ów. Wynika to z braku odpowiedniej walidacji przed wywołaniem do_shortcode. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą wykonywać dowolne shortcode'y, a obejście częściowych zabezpieczeń jest możliwe przez różne ścieżki renderowania.
- CVE-2026-13352Wysokie
Wtyczka ProfilePress dla WordPressa do wersji 4.16.18 zawiera podatność na dowolne przesyłanie plików. Funkcja allowed_mime_types globalnie dodaje rozszerzenia wykonywalne (.exe, .apk, .msi) do listy dozwolonych typów MIME, bez ograniczenia do kontekstu produktów cyfrowych. Umożliwia to uwierzytelnionym atakującym z dostępem autora i wyższym przesyłanie plików, które mogą być wykonane, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-41556Średnie
W wersjach ProfilePress <= 4.16.13 występuje podatność na atak Cross Site Scripting (XSS) związana z subskrybentami.
- CVE-2026-3309Średnie
Wtyczka ProfilePress dla WordPress do wersji 4.16.11 umożliwia wykonanie dowolnych shortcode'ów. Dzieje się tak, ponieważ wartości pól billingowych z procesu zamówienia są interpolowane do szablonów shortcode'ów bez odpowiedniego oczyszczania. Niezautoryzowani atakujący mogą wykonać dowolne shortcode'y, przesyłając spreparowane wartości pól podczas zamówienia.
- CVE-2026-3445Wysokie
Wtyczka ProfilePress dla WordPressa do wersji 4.16.11 ma podatność umożliwiającą ominięcie płatności za członkostwo. Brak weryfikacji własności parametru change_plan_sub_id w funkcji process_checkout() pozwala uwierzytelnionym atakującym (od poziomu subskrybenta) na odwołanie się do aktywnej subskrypcji innego użytkownika, manipulując kalkulacjami proracji i uzyskując płatne plany dożywotnie bez płatności.
Oryginalny opis (angielski, źródło NVD)
The Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content – ProfilePress plugin for WordPress is vulnerable to Sensitive Information Exposure in all versions up to, and including, 4.17.4 via the get_user_profile_structure. This makes it possible for authenticated attackers, with subscriber-level access and above, to extract other users' email addresses, login names, and registration dates via the Member Directory's per-row user rebinding when attacker-controlled base64 payloads in the [pp-custom-html] shortcode invoke [profile-email], [profile-username], and [profile-date-registered]. When the WordPress users_can_register option is enabled, unauthenticated attackers can also exploit this vulnerability by supplying the split shortcode fragments through the plugin's own registration handler, which processes the reg_nickname and reg_bio fields without a nonce requirement.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS