PT-2026-38892 · WordPress · Wp User Frontend

D.V4N_S3C · Publicado 2026-05-08 · Atualizado 2026-05-09 · CVE-2026-5127

Positive Technologies (AI Summary) · Pt

CVSS v3.1

8.8

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Nome do Software Vulnerável e Versões Afetadas User Frontend: AI Powered Frontend Posting, User Directory, Profile, Membership & User Registration versões anteriores a 4.3.2

Descrição A validação de entrada e a verificação de tipo insuficientes no parâmetro wpuf files durante o envio de formulários, combinadas com a desserialização incondicional via função maybe unserialize() ao exibir o conteúdo de postagens, permitem que atacantes autenticados com nível de acesso de Assinante (Subscriber) ou superior injetem objetos PHP arbitrários. Isso pode levar à execução de código arbitrário, exclusão de arquivos arbitrários ou outras ações maliciosas se houver uma cadeia POP (Property-Oriented Programming)—uma sequência de gadgets usada para executar código durante a desserialização—presente no sistema alvo.

Recomendações Atualize para uma versão posterior à 4.3.1. Como medida paliativa temporária, restrinja o acesso ao parâmetro wpuf files durante o envio de formulários para minimizar o risco de exploração.

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2026-5127

Produtos afetados

Wp User Frontend

Referências · 25

• https://nvd.nist.gov/vuln/detail/CVE-2026-5127 · Nota de Segurança
• https://plugins.trac.wordpress.org/browser/wp-user-frontend/tags/4.2.10/includes/Ajax/Frontend_Form_Ajax.php#L35 · Nota
• https://twitter.com/KaitanSecurity/status/2052697528068420008 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/wp-user-frontend/tags/4.2.10/includes/Traits/FieldableTrait.php#L679 · Nota
• https://plugins.trac.wordpress.org/browser/wp-user-frontend/tags/4.2.10/wpuf-functions.php#L959 · Nota
• https://plugins.trac.wordpress.org/browser/wp-user-frontend/trunk/includes/Traits/FieldableTrait.php#L704 · Nota
• https://plugins.trac.wordpress.org/browser/wp-user-frontend/trunk/includes/Ajax/Frontend_Form_Ajax.php#L36 · Nota
• https://plugins.trac.wordpress.org/changeset?old_path=%2Fwp-user-frontend/tags/4.3.1&new_path=%2Fwp-user-frontend/tags/4.3.2 · Nota
• https://plugins.trac.wordpress.org/browser/wp-user-frontend/trunk/includes/Ajax/Frontend_Form_Ajax.php#L35 · Nota
• https://t.me/cveNotify/162689 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/wp-user-frontend/tags/4.2.10/includes/Traits/FieldableTrait.php#L704 · Nota
• https://plugins.trac.wordpress.org/browser/wp-user-frontend/trunk/wpuf-functions.php#L1103 · Nota
• https://twitter.com/CVEnew/status/2053174688386310156 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/wp-user-frontend/tags/4.2.10/wpuf-functions.php#L1103 · Nota
• https://plugins.trac.wordpress.org/browser/wp-user-frontend/trunk/includes/Traits/FieldableTrait.php#L502 · Nota