CVE-2026-54853
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Podatność braku autoryzacji w wtyczce Profile Builder (profile-builder) firmy Cozmoslabs pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Problem dotyczy wersji od n/a do 4.0.5.
Ocena ryzyka
Nieuprawnieni użytkownicy mogą wykonywać akcje zastrzeżone dla wyższych uprawnień, co może prowadzić do modyfikacji profili lub konfiguracji wtyczki.
Rekomendacja
Zaktualizuj wtyczkę Profile Builder do wersji nowszej niż 4.0.5 i zweryfikuj uprawnienia ról w witrynie WordPress.
Inne podatności w Profile Builder
Zobacz wszystkie- CVE-2026-111965Średnie
Wtyczka WordPress Profile Builder w wersjach od 4.0.0 do 4.0.4 nie wymusza weryfikacji reCAPTCHA na wszystkich ścieżkach przesyłania komentarzy. Umożliwia to uwierzytelnionym użytkownikom obejście ochrony antyspamowej skonfigurowanej przez administratora dla formularza komentarzy WordPress.
- CVE-2026-96338Średnie
Podatność na Cross Site Scripting (XSS) w wtyczce Profile Builder w wersjach do 4.0.2. Użytkownik o roli Subscriber może wstrzyknąć złośliwy skrypt.
- CVE-2026-54855Wysokie
Wtyczka Profile Builder w wersjach do 4.0.5 zawiera podatność typu Cross Site Scripting (XSS), którą można wykorzystać bez uwierzytelnienia. Opis nie precyzuje wektora ani parametru podatnego na wstrzyknięcie.
- CVE-2026-54854Średnie
Wtyczka Profile Builder w wersjach do 4.0.5 zawiera podatność umożliwiającą użytkownikowi z rolą Contributor podniesienie uprawnień. Może to pozwolić na uzyskanie dostępu do funkcji zastrzeżonych dla wyższych ról.
- CVE-2026-112242Wysokie
Wtyczka Profile Builder firmy Cozmoslabs (wersje do 4.0.4) zawiera podatność nieprawidłowego przypisania uprawnień, która umożliwia eskalację uprawnień. Może to pozwolić użytkownikom o niskich uprawnieniach na uzyskanie wyższych uprawnień w witrynie WordPress.
- CVE-2026-82607Wysokie
Podatność w pluginie Profile Builder do wersji 3.16.1 na WordPressie w funkcji wppb_ajax_simple_avatar pliku /wp-admin/admin-ajax.php pozwala na nieograniczone przesyłanie plików. Atak może być przeprowadzony zdalnie, a exploit jest publiczny.
- CVE-2026-66701Średnie
Podatność na nieuwierzytelnione obejście kontroli dostępu (Broken Access Control) wtyczki Profile Builder (wersje do 3.16.5) pozwala nieuwierzytelnionemu atakującemu na uzyskanie dostępu do funkcji lub danych, które powinny być chronione.
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in Cozmoslabs Profile Builder profile-builder allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects Profile Builder: from n/a through 4.0.5.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS