CVE-2026-103693
CVE-2026-103693
Traduzido automaticamente do inglês.
- Crítica
- CVSS 9.0
- Versão corrigida informada
Resumo
Os plugins WordPress Frontend Dashboard antes da versão 3.0.5 e ProfileGrid antes da versão 6.0.0.5 não impedem que um usuário não autenticado armazene um objeto PHP serializado nos metadados do usuário, que é desserializado quando um perfil público é visualizado, permitindo a injeção de objeto PHP que pode levar à escrita arbitrária de arquivos e…
Do registro CVE.
Ler a descrição original
Registro CVE
The Frontend Dashboard WordPress plugin before 3.0.5, ProfileGrid WordPress plugin before 6.0.0.5 do not prevent an unauthenticated user from storing a serialized PHP object in user metadata that is deserialized when a public profile is viewed, allowing PHP object injection that can lead to arbitrary file write and potential remote code execution.
O que fazer
Versão corrigida informada
Produtos afetados
| Produto | Afetadas | Corrigido em |
|---|---|---|
| Unknown Frontend Dashboard | antes de 3.0.5 | 3.0.5 |
| Unknown ProfileGrid | antes de 6.0.0.5 | 6.0.0.5 |
Alertas e correções
- Exploit público wpscan.com
Notas e sinais
- Exploração
- Sem exploração conhecida
- Gravidade
- Crítica, CVSS 9.0 (v3.1, pontuado por CISA-ADP)
- Pontos de decisão SSVC da CISA
- Exploração: nenhuma. Automatizável: não. Impacto técnico: total. Em 29 de out. de 2026.
- Fraqueza
- CWE-502: Deserialization of Untrusted Data
Linha do tempo
- Listada como crítica pelo cve.now. Versões afetadas e corrigidas vêm do registro CVE, quando for publicado.