CVE-2026-9290

WysokieCVSS 7.5

Opublikowano: 06/06/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 24/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Wysokie ryzyko

2.40%

Percentyl 82 - wyżej niż 82% wszystkich znanych CVE

Streszczenie

Wtyczka WP User Manager – User Profile Builder & Membership dla WordPressa w wersjach do 2.9.17 włącznie zawiera podatność na lokalne dołączanie plików (Local File Inclusion) w funkcji szablonu profilu. Nieuwierzytelnieni atakujący mogą dołączać i wykonywać dowolne pliki .php na serwerze, co umożliwia ominięcie kontroli dostępu, uzyskanie wrażliwych danych lub wykonanie kodu.

Ocena ryzyka

Atakujący może zdalnie wykonać dowolny kod PHP na serwerze, co prowadzi do pełnej kompromitacji witryny WordPress.

Rekomendacja

Zaktualizuj wtyczkę WP User Manager do wersji nowszej niż 2.9.17, która zawiera poprawkę.

Inne podatności w WP User Manager

CVE-2026-49766Krytyczne
Wtyczka WP User Manager w wersjach do 2.9.16 zawiera podatność, która pozwala subskrybentom na dowolne usuwanie plików.

Oryginalny opis (angielski, źródło NVD)

The WP User Manager – User Profile Builder & Membership plugin for WordPress is vulnerable to Local File Inclusion in all versions up to, and including, 2.9.17 via the (profile template scope) function. This makes it possible for unauthenticated attackers to include and execute arbitrary .php files on the server, allowing the execution of any PHP code in those files. This can be used to bypass access controls, obtain sensitive data, or achieve code execution in cases where .php file types can be uploaded and included.