PT-2026-40554 · Wedevs · User Frontend: Ai Powered Frontend Posting

Supakiad S · Publicado 2026-05-12 · Atualizado 2026-06-10 · CVE-2026-4058

Positive Technologies (AI Summary) · Pt

CVSS v3.1

4.3

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas User Frontend: AI Powered Frontend Posting, User Directory, Profile, Membership & User Registration versões anteriores a 4.3.3

Descrição O plugin está sujeito à modificação não autorizada de dados porque a função user subscription cancel() carece de uma verificação de capacidade adequada. Isso permite que atacantes autenticados com permissões de nível Assinante (Subscriber) ou superior cancelem pacotes de assinatura de qualquer usuário, incluindo aqueles com privilégios de administrador.

Recomendações Atualize para uma versão posterior a 4.3.2. Como medida paliativa temporária, restrinja o acesso à função user subscription cancel() para evitar cancelamentos de assinatura não autorizados.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-4058

Produtos afetados

User Frontend: Ai Powered Frontend Posting

Referências · 9

• https://wordfence.com/threat-intel/vulnerabilities/id/ffdf34bb-a887-444c-8a76-12901fed6662?source=cve · Nota
• https://plugins.trac.wordpress.org/changeset/3528244 · Nota
• https://twitter.com/atomicedgeWAF/status/2064808586027393122 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-4058 · Nota de Segurança
• https://twitter.com/CVEnew/status/2064342519983267996 · Publicação no Twitter
• https://t.me/CVEtracker/56292 · Publicação no Telegram
• https://twitter.com/VulmonFeeds/status/2054373824641012181 · Publicação no Twitter
• https://twitter.com/CVEnew/status/2054340918640074802 · Publicação no Twitter
• https://t.me/CVEtracker/53584 · Publicação no Telegram