CVE-2026-92551
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka ProfilePress dla WordPressa do wersji 4.17.4 włącznie jest podatna na odbity atak XSS przez parametr 'ppress_billing_address'. Niezalogowani atakujący mogą wstrzykiwać skrypty, które wykonają się po kliknięciu przez użytkownika w spreparowany link.
Ocena ryzyka
Ryzyko kradzieży danych uwierzytelniających, przejęcia sesji lub wykonania nieautoryzowanych działań w kontekście zalogowanego użytkownika.
Rekomendacja
Zaktualizuj wtyczkę ProfilePress do najnowszej wersji. Należy również edukować użytkowników o nieklikaniu w podejrzane linki.
Inne podatności w ProfilePress
Zobacz wszystkie- CVE-2026-92536Wysokie
Wtyczka ProfilePress dla WordPressa jest podatna na ujawnienie wrażliwych informacji w wersjach do 4.17.4 włącznie przez funkcję get_user_profile_structure. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta i wyżej mogą wyodrębnić adresy e-mail, nazwy logowania i daty rejestracji innych użytkowników. Gdy opcja users_can_register jest włączona, niezautentykowani atakujący mogą to wykorzystać przez rejestrację.
- CVE-2026-85658Wysokie
Wtyczka ProfilePress dla WordPressa w wersjach do 4.17.2 włącznie jest podatna na wykonanie dowolnych shortcode'ów. Wynika to z braku właściwej walidacji wartości przed uruchomieniem do_shortcode, co pozwala uwierzytelnionym użytkownikom z rolą subskrybenta i wyższą na wykonywanie dowolnych shortcode'ów.
- CVE-2026-66047Wysokie
Wtyczka ProfilePress (wp-user-avatar) dla WordPressa przed wersją 4.17.2 zawiera podatność na zdalne wykonanie kodu bez uwierzytelnienia. Atakujący może zainstalować i aktywować dowolne wtyczki poprzez brute-force słabego 32-bitowego tokena connect w handlerze AJAX ppress_connect_process, co prowadzi do wykonania kodu PHP jako użytkownik serwera WWW.
- CVE-2026-19848Średnie
Wtyczka ProfilePress dla WordPressa przed wersją 4.17.1 nie usuwa shortcode'ów z dwóch pól profilu przed ich wyświetleniem na publicznych stronach, co pozwala nieuwierzytelnionym atakującym na przechowywanie shortcode'ów, które są następnie wykonywane podczas przeglądania strony, ujawniając adres e-mail, login i datę rejestracji wybranego użytkownika.
- CVE-2026-18385Średnie
Wtyczka ProfilePress dla WordPressa do wersji 4.16.19 jest podatna na dowolne wykonanie shortcode'ów. Wynika to z braku odpowiedniej walidacji przed wywołaniem do_shortcode. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta mogą wykonywać dowolne shortcode'y, a obejście częściowych zabezpieczeń jest możliwe przez różne ścieżki renderowania.
- CVE-2026-13352Wysokie
Wtyczka ProfilePress dla WordPressa do wersji 4.16.18 zawiera podatność na dowolne przesyłanie plików. Funkcja allowed_mime_types globalnie dodaje rozszerzenia wykonywalne (.exe, .apk, .msi) do listy dozwolonych typów MIME, bez ograniczenia do kontekstu produktów cyfrowych. Umożliwia to uwierzytelnionym atakującym z dostępem autora i wyższym przesyłanie plików, które mogą być wykonane, co prowadzi do zdalnego wykonania kodu.
- CVE-2026-41556Średnie
W wersjach ProfilePress <= 4.16.13 występuje podatność na atak Cross Site Scripting (XSS) związana z subskrybentami.
- CVE-2026-3309Średnie
Wtyczka ProfilePress dla WordPress do wersji 4.16.11 umożliwia wykonanie dowolnych shortcode'ów. Dzieje się tak, ponieważ wartości pól billingowych z procesu zamówienia są interpolowane do szablonów shortcode'ów bez odpowiedniego oczyszczania. Niezautoryzowani atakujący mogą wykonać dowolne shortcode'y, przesyłając spreparowane wartości pól podczas zamówienia.
- CVE-2026-3445Wysokie
Wtyczka ProfilePress dla WordPressa do wersji 4.16.11 ma podatność umożliwiającą ominięcie płatności za członkostwo. Brak weryfikacji własności parametru change_plan_sub_id w funkcji process_checkout() pozwala uwierzytelnionym atakującym (od poziomu subskrybenta) na odwołanie się do aktywnej subskrypcji innego użytkownika, manipulując kalkulacjami proracji i uzyskując płatne plany dożywotnie bez płatności.
Oryginalny opis (angielski, źródło NVD)
The Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content – ProfilePress plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via ppress_billing_address Filename Parameter in all versions up to, and including, 4.17.4 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link. The vulnerability is exploitable via any page hosting the ProfilePress Tabbed Widget by supplying a malicious filename for the ppress_billing_address file upload field in a crafted POST request.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS