Уразливість виконання довільних шорткодів у ProfilePress для WordPress (CVE-2025-13642)

Що відомо

Плагін ProfilePress для WordPress, що включає функції платного членства, електронної комерції та реєстрації користувачів, має уразливість, яка дозволяє автентифікованим користувачам з рівнем доступу Subscriber і вище виконувати довільні шорткоди через параметр 'type' у функції попереднього перегляду форми. Проблема присутня у версіях до 4.16.7 включно.

Бізнес-вплив

Ця уразливість може дозволити зловмисникам з обмеженим доступом виконувати небажані дії через шорткоди, що може призвести до порушення цілісності сайту або витоку даних. Власники сайтів на WordPress, які використовують цей плагін, ризикують компрометацією функціональності та потенційними атаками на користувачів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна ProfilePress та встановити останню версію, якщо доступна. Якщо оновлення недоступне, слід обмежити доступ користувачів до рівня нижче Subscriber, ретельно перевірити журнали активності на ознаки зловмисної діяльності та мінімізувати експозицію функції попереднього перегляду форми.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference