CVE-2026-12690: ProfileGrid WordPress Plugin - Nadpisywanie ustawień licencji premium przez użytkowników z dostępem subskrybenta

Co wiadomo

Wtyczka ProfileGrid dla WordPressa w wersjach przed 5.9.9.7 nie sprawdza uprawnień podczas zarządzania licencją, opierając się jedynie na nonce dostępnym dla każdego zalogowanego użytkownika. Pozwala to użytkownikom z poziomem subskrybenta i wyższym na nadpisanie ustawień licencji premium witryny.

Wpływ biznesowy

Ta luka umożliwia nieautoryzowanym użytkownikom z podstawowym dostępem modyfikację kluczowych ustawień licencji premium, co może prowadzić do nieprawidłowego działania funkcji płatnych lub nadużyć licencyjnych. Operatorzy stron korzystających z tej wtyczki powinni rozważyć ryzyko związane z potencjalnym naruszeniem integralności licencji i wpływem na przychody lub reputację.

Rekomendowane działania administratora

Zaleca się jak najszybszą aktualizację wtyczki ProfileGrid do wersji 5.9.9.7 lub nowszej, jeśli jest dostępna. W przypadku braku natychmiastowej aktualizacji, ogranicz dostęp użytkowników do poziomu wyższego niż subskrybent oraz monitoruj logi aktywności pod kątem nieautoryzowanych zmian w ustawieniach licencji. Przeanalizuj politykę uprawnień i rozważ wdrożenie dodatkowych mechanizmów kontroli dostępu.

Źródła

• NVD
• Reference