PT-2026-40611 · WordPress · Profilegrid

Jonah Burgess · Publicado 2026-05-13 · Atualizado 2026-05-13 · CVE-2026-4609

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.1

Alta

Vetor base

AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:N

Nome do Software Vulnerável e Versões Afetadas ProfileGrid – User Profiles, Groups and Communities versões anteriores a 5.9.8.5

Descrição O plugin ProfileGrid – User Profiles, Groups and Communities para WordPress permite acesso não autorizado porque a função pm invite user() carece de uma verificação de capacidade. Atacantes autenticados com nível de acesso de Assinante (Subscriber) ou superior podem explorar isso para adicionar a si mesmos ou a outros usuários registrados a qualquer grupo, incluindo grupos fechados e pagos, ignorando todas as barreiras de autorização e pagamento.

Recomendações Atualize o plugin para uma versão posterior à 5.9.8.4. Como medida paliativa temporária, restrinja o acesso à função pm invite user() para minimizar o risco de exploração.

Correção

Missing Authorization

Enumeração de Fraquezas

CWE-862

Identificadores relacionados

CVE-2026-4609

Produtos afetados

Profilegrid

Referências · 7

• https://wordfence.com/threat-intel/vulnerabilities/id/c3678b4d-0cd0-4873-8cf3-90c557931f4c?source=cve · Nota
• https://twitter.com/VulmonFeeds/status/2054599207877488836 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-4609 · Nota de Segurança
• https://plugins.trac.wordpress.org/changeset/3491679 · Nota
• https://plugins.trac.wordpress.org/browser/profilegrid-user-profiles-groups-and-communities/trunk/public/class-profile-magic-public.php#L3319 · Nota
• https://twitter.com/KaitanSecurity/status/2054600121271111700 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/profilegrid-user-profiles-groups-and-communities/trunk/public/class-profile-magic-public.php#L3280 · Nota