Уразливість відсутності авторизації в ProfilePress для WordPress (CVE-2026-4949)

Що відомо

Плагін ProfilePress для WordPress має уразливість відсутності авторизації у функції process_checkout, що дозволяє автентифікованим користувачам з рівнем підписника підписуватися на неактивні плани членства, використовуючи параметр change_plan_sub_id.

Бізнес-вплив

Ця уразливість може призвести до несанкціонованого доступу до неактивних планів членства, що потенційно впливає на монетизацію та управління підписками. Власники сайтів на WordPress, які використовують цей плагін, можуть зіткнутися з порушенням бізнес-логіки та втратами доходів.

Рекомендовані дії адміністратора

Рекомендується перевірити наявність оновлень плагіна ProfilePress та встановити їх, якщо доступні. Якщо оновлення відсутні, слід обмежити доступ користувачів до функції оформлення замовлення, перевірити журнали на предмет підозрілої активності та розглянути можливість тимчасового відключення плагіна до виправлення уразливості.

Джерела

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference