ProfilePress: Offenlegung sensibler Informationen über Shortcode-Injection

Zusammenfassung

Das WordPress-Plugin ProfilePress (wp-user-avatar) bis einschliesslich Version 4.17.4 legt Daten anderer Benutzer offen. Ein Angreifer mit einem Subscriber-Konto kann Shortcodes einschleusen, die E-Mail-Adressen, Login-Namen und Registrierungsdaten anderer Mitglieder anzeigen. Ist die Benutzerregistrierung aktiviert, kann ein nicht authentifizierter Angreifer die gleiche Schwachstelle über den Registrierungs-Handler des Plugins ausnutzen.

Betroffen

• ProfilePress (wp-user-avatar), Versionen 0 bis einschliesslich 4.17.4

Behoben in

Unbekannt. Es wurde keine Herstellerwarnung und keine bestätigte korrigierte Version gefunden. Die Annahme, dass 4.17.5 sicher ist, ist nicht zulässig, da sich widersprechende Drittquellen existieren. Installieren Sie die neueste Version und prüfen Sie die korrigierte Version im Changelog des Herstellers oder im Wordfence-Eintrag.

Umgehung

• Öffentliche Registrierung (users_can_register) deaktivieren, falls sie nicht benötigt wird.
• Subscriber-Konten prüfen und unbekannte oder ungenutzte Konten entfernen.
• Verwendung der Member Directory und von [pp-custom-html] auf öffentlichen Seiten einschränken, bis eine Korrektur bestätigt ist.
• Eine WAF-Regelgruppe ist keine Korrektur.

Ausnutzung

• In den geprüften Quellen ist keine Ausnutzung in freier Wildbahn bekannt.
• Es wurde kein öffentlicher Proof of Concept gefunden.
• CISA SSVC: Ausnutzung keine, automatisierbar nein. Der CISA-KEV-Katalog wurde nicht direkt geprüft.

Unsere Empfehlung

• ProfilePress auf die neueste Version aktualisieren und die korrigierte Version bestätigen.
• Öffentliche Registrierung deaktivieren, falls sie nicht erforderlich ist.
• Subscriber-Konten prüfen und ungenutzte Konten entfernen.
• Prüfen, ob Personendaten offengelegt wurden. Gemäss dem revidierten Schweizer DSG kann dies eine Beurteilung und allenfalls eine Meldung erfordern.
• Plugins regelmässig aktualisieren.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence advisory www.wordfence.com
• CVE record (Vulners CVELIST) vulners.com
• NVD record (Vulners) vulners.com
• VulDB entry vuldb.com
• EUVD record (Vulners) vulners.com
• Patchstack plugin database patchstack.com
• Positive Technologies PT-2026-104488 (Vulners) vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 22:42.