Análisis pendienteCVE-2026-4607

CVE-2026-4607: Authorization Bypass in ProfileGrid WordPress Plugin

Plataforma

wordpress

Componente

profilegrid-user-profiles-groups-and-communities

Corregido en

5.9.8.5

CVE-2026-4607 describes an authorization bypass vulnerability affecting the ProfileGrid WordPress plugin. An authenticated attacker, even with Subscriber-level access, can manipulate critical site-wide group settings, potentially leading to configuration drift and unexpected behavior. This vulnerability impacts versions 0.0.0 through 5.9.8.4, and a patch is available in version 5.9.8.5.

WordPress

Detecta esta CVE en tu proyecto

Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.

Impacto y Escenarios de Ataquetraduciendo…

The primary impact of this vulnerability lies in the ability of an attacker to modify ProfileGrid group settings without proper authorization. This includes altering the group menu order, list order, icon display, and field ordering. While not a direct data breach, unauthorized modification of these settings can disrupt site functionality, create confusion for administrators, and potentially lead to misconfiguration impacting user experience. An attacker could systematically alter group settings to hinder legitimate users or create a misleading site structure. The blast radius is limited to the ProfileGrid plugin's functionality within the WordPress site, but the impact on site administration and user experience can be significant.

Contexto de Explotacióntraduciendo…

CVE-2026-4607 was published on May 13, 2026. Its CVSS score is 4.3 (MEDIUM). As of this writing, there are no publicly known Proof-of-Concept (POC) exploits. The vulnerability is not currently listed on KEV or EPSS, suggesting a low to medium probability of active exploitation. Monitor security advisories and WordPress vulnerability databases for updates.

Inteligencia de Amenazas

Estado del Exploit

Prueba de ConceptoDesconocido
CISA KEVNO
Exposición en InternetAlta
Reports1 threat report

CISA SSVC

Exploitationnone
Automatableno
Technical Impactpartial

Vector CVSS

INTELIGENCIA DE AMENAZAS· CVSS 3.1CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N4.3MEDIUMAttack VectorNetworkCómo el atacante alcanza el objetivoAttack ComplexityLowCondiciones necesarias para explotarPrivileges RequiredLowNivel de autenticación requeridoUser InteractionNoneSi la víctima debe realizar una acciónScopeUnchangedImpacto más allá del componente afectadoConfidentialityNoneRiesgo de exposición de datos sensiblesIntegrityLowRiesgo de modificación no autorizada de datosAvailabilityNoneRiesgo de interrupción del servicionextguardhq.com · Puntuación Base CVSS v3.1
¿Qué significan estas métricas?
Attack Vector
Red — explotable remotamente por internet. Sin acceso físico ni local. Mayor superficie de ataque.
Attack Complexity
Baja — sin condiciones especiales. El atacante puede explotar de forma confiable sin configuraciones raras.
Privileges Required
Bajo — cualquier cuenta de usuario válida es suficiente.
User Interaction
Ninguna — el ataque es automático y silencioso. La víctima no hace nada.
Scope
Sin cambio — el impacto se limita al componente vulnerable.
Confidentiality
Ninguno — sin impacto en confidencialidad.
Integrity
Bajo — el atacante puede modificar algunos datos con alcance limitado.
Availability
Ninguno — sin impacto en disponibilidad.

Software Afectado

Componenteprofilegrid-user-profiles-groups-and-communities
Proveedorwordfence
Versión mínima0.0.0
Versión máxima5.9.8.4
Corregido en5.9.8.5

Clasificación de Debilidad (CWE)

Cronología

  1. Reserved
  2. Publicada

Mitigación y Workaroundstraduciendo…

The primary mitigation is to upgrade the ProfileGrid plugin to version 5.9.8.5 or later. If an immediate upgrade is not feasible due to compatibility concerns or testing requirements, consider implementing a temporary workaround by restricting access to the pmsetgrouporder, pmsetgroupitems, and pmsetfield_order AJAX actions to administrators only. This can be achieved through custom code or a WordPress security plugin. Monitor WordPress logs for suspicious activity related to these AJAX actions. After upgrading, confirm the fix by logging in as a Subscriber and attempting to modify group settings – the action should be denied.

Cómo corregirlo

Actualizar a la versión 5.9.8.5, o una versión parcheada más reciente

Preguntas frecuentestraduciendo…

What is CVE-2026-4607 — Authorization Bypass in ProfileGrid WordPress Plugin?

CVE-2026-4607 is a medium severity vulnerability in the ProfileGrid WordPress plugin allowing authenticated users (Subscriber level and above) to modify site-wide group settings without proper authorization, impacting configuration and potentially user experience.

Am I affected by CVE-2026-4607 in ProfileGrid WordPress Plugin?

You are affected if your WordPress site uses the ProfileGrid plugin and is running version 5.9.8.4 or earlier. Upgrade to 5.9.8.5 to mitigate the risk.

How do I fix CVE-2026-4607 in ProfileGrid WordPress Plugin?

Upgrade the ProfileGrid plugin to version 5.9.8.5 or later. As a temporary workaround, restrict access to the vulnerable AJAX actions to administrators only.

Is CVE-2026-4607 being actively exploited?

As of the current assessment, CVE-2026-4607 is not known to be actively exploited, but continuous monitoring is recommended.

Where can I find the official ProfileGrid advisory for CVE-2026-4607?

Refer to the official ProfileGrid website and WordPress plugin repository for the latest advisory and update information regarding CVE-2026-4607.

¿Tu proyecto está afectado?

Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.

WordPress

Detecta esta CVE en tu proyecto

Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.

liveescaneo gratuito

Escanea tu proyecto WordPress ahora — sin cuenta

Sube cualquier manifiesto (composer.lock, package-lock.json, lista de plugins WordPress…) o pega tu lista de componentes. Recibís un reporte de vulnerabilidades al instante. Subir un archivo es solo el primer paso: con una cuenta tenés monitoreo continuo, alertas en tu canal, multi-proyecto y reportes white-label.

Escaneo manualAlertas en Slack/emailMonitoreo continuoReportes white-label

Arrastra y suelta tu archivo de dependencias

composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...