Plateforme
wordpress
Composant
profile-builder-pro
Corrigé dans
3.14.0
Une vulnérabilité d'injection SQL aveugle a été découverte dans Profile Builder Pro, un plugin WordPress développé par Cozmoslabs. Cette faille permet à un attaquant d'exécuter des requêtes SQL malveillantes, compromettant potentiellement l'intégrité et la confidentialité des données stockées. Les versions concernées sont celles comprises entre 0.0.0 et 3.14.0. Une mise à jour vers la version 3.14.0 corrige cette vulnérabilité.
L'exploitation réussie de cette vulnérabilité d'injection SQL aveugle permet à un attaquant d'extraire des informations sensibles de la base de données WordPress. Cela peut inclure des noms d'utilisateur, des mots de passe hachés, des adresses e-mail, des informations personnelles des utilisateurs et d'autres données critiques. L'attaquant peut également potentiellement modifier ou supprimer des données, compromettant ainsi le fonctionnement du site web et la confiance des utilisateurs. Bien que l'injection soit 'aveugle', elle permet toujours une extraction progressive des données, rendant l'attaque potentiellement longue mais efficace. Une compromission réussie pourrait mener à un vol de données massif et à une perte de contrôle du site WordPress.
Cette vulnérabilité a été rendue publique le 19 mars 2026. Sa sévérité critique (CVSS 9.3) indique un risque élevé d'exploitation. Il n'y a pas d'indication d'une inclusion dans le KEV de CISA à ce jour. Des preuves d'exploitation active ne sont pas encore connues, mais la nature de l'injection SQL aveugle rend l'exploitation potentiellement discrète et difficile à détecter. Des preuves de concept (PoC) publiques sont susceptibles d'émerger rapidement.
WordPress websites utilizing Profile Builder Pro, particularly those running versions prior to 3.14.0, are at significant risk. Shared hosting environments where multiple websites share the same database are especially vulnerable, as a successful attack on one site could potentially compromise others.
• wordpress / composer / npm:
grep -r "SELECT .* FROM" /var/www/html/wp-content/plugins/profile-builder-pro/• generic web:
curl -I https://your-wordpress-site.com/wp-admin/admin.php?page=profile-builder-pro-settings&action=test_db_connection | grep SQL• wordpress / composer / npm:
wp plugin list --status=active | grep profile-builder-prodisclosure
Statut de l'Exploit
EPSS
0.04% (percentile 12%)
CISA SSVC
Vecteur CVSS
La mitigation la plus efficace consiste à mettre à jour Profile Builder Pro vers la version 3.14.0 ou supérieure, qui corrige cette vulnérabilité. Si la mise à jour n'est pas immédiatement possible, des mesures temporaires peuvent être prises. Il est recommandé de renforcer la sécurité de la base de données WordPress en utilisant des mots de passe forts et en limitant les privilèges des utilisateurs. L'utilisation d'un pare-feu applicatif web (WAF) peut également aider à bloquer les tentatives d'injection SQL. Surveillez attentivement les journaux d'accès et d'erreurs du serveur web pour détecter toute activité suspecte. Il n'existe pas de signature Sigma ou YARA spécifique pour cette vulnérabilité, mais la surveillance des requêtes SQL inhabituelles est recommandée.
Mettre à jour vers la version 3.14.0, ou une version corrigée plus récente
Analyses de vulnérabilités et alertes critiques directement dans votre boîte mail.
CVE-2026-27413 is a critical SQL Injection vulnerability affecting Profile Builder Pro versions 0.0.0–3.14.0, allowing attackers to extract data via blind SQL injection.
You are affected if you are using Profile Builder Pro versions 0.0.0 through 3.14.0. Upgrade immediately to mitigate the risk.
Upgrade Profile Builder Pro to version 3.14.0 or later. If upgrading is not possible, implement WAF rules and sanitize user inputs.
While no public exploits are currently known, the vulnerability's nature makes exploitation likely. Monitor your systems for suspicious activity.
Refer to the Cozmoslabs website and WordPress plugin repository for the official advisory and update information.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.
Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.