PT-2026-30346 · WordPress · Profilepress

Nabil Irawan · CVE-2026-3309 · Publicado 2026-04-04 · Atualizado 2026-04-04

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.5

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

Name of the Vulnerable Software and Affected Versions ProfilePress versões até 4.16.11

Description O plugin ProfilePress para WordPress é suscetível à execução arbitrária de shortcodes. Isso ocorre porque o plugin não higieniza adequadamente os valores de campos de faturamento fornecidos pelo usuário durante o processo de checkout antes de usá-los em strings de modelo de shortcode. Isso permite que invasores não autenticados executem shortcodes arbitrários enviando valores de campos de faturamento criados.

Recommendations Atualize para uma versão superior a 4.16.11

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2026-3309

Produtos afetados

Profilepress

Referências · 5

• https://wordfence.com/threat-intel/vulnerabilities/id/3f8f083e-0de2-42a5-b289-101ec53aa44c?source=cve · Nota
• https://twitter.com/CVEnew/status/2040481238902038754 · Publicação no Twitter
• https://twitter.com/cyberbivash/status/2040418190467957050 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&new=3471623%40wp-user-avatar%2Ftrunk&old=3447273%40wp-user-avatar%2Ftrunk&sfp_email=&sfph_mail= · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-3309 · Nota de Segurança