PT-2026-33181 · WordPress · Profilepress

Supakiad S

·

Publicado

2026-04-15

·

Atualizado

2026-04-16

·

CVE-2026-4949

CVSS v3.1

4.3

Média

VetorAV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N
Name of the Vulnerable Software and Affected Versions ProfilePress versões anteriores a 4.16.13
Description O plugin é afetado por falta de autorização. A função process checkout() não impõe corretamente a verificação do status ativo de um plano quando o parâmetro change plan sub id é fornecido. Isso permite que atacantes autenticados com nível de acesso Assinante ou superior se inscrevam em planos de assinatura inativos ao enviar um valor arbitrário para a variável change plan sub id durante a solicitação de checkout.
Recommendations Atualize para uma versão posterior a 4.16.12.

Correção

Missing Authorization

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-4949

Produtos afetados

Profilepress