PT-2026-47074 · WordPress · Wp User Manager

Yat Wu · Publicado 2026-06-05 · Atualizado 2026-06-14 · CVE-2026-9290

Positive Technologies (AI Summary) · Pt

CVSS v3.1

7.5

Alta

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N

Nome do Software Vulnerável e Versões Afetadas WP User Manager – User Profile Builder & Membership versões anteriores a 2.9.18

Descrição O plugin é suscetível a Local File Inclusion, uma condição onde uma aplicação inclui arquivos em um servidor local de forma inesperada. Isso ocorre através da função profile template scope, permitindo que atacantes não autenticados incluam e executem arquivos .php arbitrários. Isso pode levar à execução de código PHP, bypass de controles de acesso ou à obtenção de dados sensíveis, particularmente quando arquivos .php podem ser carregados no servidor.

Recomendações Atualize o plugin para a versão 2.9.18 ou posterior. Como medida paliativa temporária, restrinja o acesso à função profile template scope para minimizar o risco de exploração.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2026-9290

Produtos afetados

Wp User Manager

Referências · 19

• https://github.com/WPUserManager/wp-user-manager/pull/445 · Nota
• https://plugins.trac.wordpress.org/browser/wp-user-manager/tags/2.9.17/templates/profile.php#L52 · Nota
• https://twitter.com/CVEnew/status/2063584093380428056 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/wp-user-manager/tags/2.9.17/includes/functions.php#L955 · Nota
• https://plugins.trac.wordpress.org/browser/wp-user-manager/tags/2.9.15/includes/permalinks.php#L133 · Nota
• https://plugins.trac.wordpress.org/browser/wp-user-manager/tags/2.9.17/vendor-dist/gamajo/template-loader/class-gamajo-template-loader.php#L226 · Nota
• https://t.me/CVEtracker/56040 · Publicação no Telegram
• https://plugins.trac.wordpress.org/changeset?sfp_email=&sfph_mail=&reponame=&old=3554574%40wp-user-manager&new=3554574%40wp-user-manager&sfp_email=&sfph_mail= · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-9290 · Nota de Segurança
• https://twitter.com/pdnuclei_bot/status/2064875301373612250 · Publicação no Twitter
• https://twitter.com/atomicedgeWAF/status/2066223150241550596 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/wp-user-manager/tags/2.9.17/includes/permalinks.php#L133 · Nota
• https://twitter.com/infoflowcloud/status/2063584610701775328 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/wp-user-manager/tags/2.9.15/includes/functions.php#L955 · Nota
• https://wordfence.com/threat-intel/vulnerabilities/id/7a5e08d8-c6ef-42a3-9599-28c3bfb35017?source=cve · Nota