ProfilePress · plugin de cadastro e assinaturas
Afeta: sites que usam diretórios de membros ou planos de assinatura do ProfilePress
Um visitante sem login pode ver membros que o diretório do site deveria esconder e dados guardados nos perfis deles. Assinantes também podem entrar em planos que você desativou.
Você mesmo
- Atualizar o ProfilePress para a 4.17.6 ou mais recente.
- Conferir quais informações dos perfis aparecem nos diretórios de membros.
- Revisar se algum assinante entrou recentemente em planos desativados.
Seu dev ou hospedagem
- Revisar nos logs requisições aos diretórios de membros com parâmetros de role ou meta inesperados.
- Conferir se há dados sensíveis guardados em usermeta que possam ter sido expostos.
Detalhes técnicos: O ProfilePress antes da 4.17.6 não limita os filtros de função (role) e de metadados de usuário aceitos pelos diretórios de membros aos que o administrador configurou. Um visitante sem login pode listar contas que o diretório deveria esconder e obter os valores de metadados desses usuários (CVE-2026-123659, CVSS 5.3, WPScan). No mesmo dia foi publicada a CVE-2026-123661 (corrigida na 4.17.4): um assinante com assinatura ativa pode trocar para planos desativados pelo dono do site, inclusive planos gratuitos que concedem uma função de usuário. Não há exploração confirmada.
Dados técnicos
CVE-2026-123659 · CVE-2026-123661 · CVSS 5,3 · Fonte: WPScan