Cette page n'a pas encore été traduite dans votre langue. Affichage du contenu en anglais pendant que nous y travaillons.

💡 Keep dependencies up to date — most exploits target known, patchable vulnerabilities.

MEDIUMCVE-2026-39639CVSS 4.3

CVE-2026-39639: Unauthorized Access in RPS Include Content

Plateforme

wordpress

Composant

rps-include-content

Traduction vers votre langue…

CVE-2026-39639 describes an unauthorized access vulnerability within the RPS Include Content plugin for WordPress. This flaw allows authenticated users with contributor-level access or higher to execute actions they shouldn't be able to. The vulnerability impacts versions of the plugin up to and including 1.2.2, and a fix is available in later versions.

WordPress

Détecte cette CVE dans ton projet

Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.

Impact et Scénarios d'Attaquetraduction en cours…

The primary impact of CVE-2026-39639 is the potential for unauthorized actions within a WordPress site. An attacker, already logged in with a contributor account (or higher), can leverage this missing capability check to bypass access controls and perform actions typically restricted to administrators or other privileged roles. This could include modifying content, installing plugins, or altering site settings, leading to data compromise, defacement, or even complete site takeover. The blast radius is limited to the scope of actions the contributor account can perform, but the potential for damage is still significant.

Contexte d'Exploitationtraduction en cours…

CVE-2026-39639 was published on 2026-02-14. Its severity is currently assessed as medium. No public proof-of-concept exploits are currently known. The vulnerability is not listed on KEV or EPSS, indicating a low to medium probability of exploitation. Monitor WordPress security forums and vulnerability databases for any updates.

Renseignement sur les Menaces

Statut de l'Exploit

Preuve de ConceptInconnu
CISA KEVNO
Exposition InternetÉlevée

EPSS

0.03% (percentile 8%)

Vecteur CVSS

RENSEIGNEMENT SUR LES MENACES· CVSS 3.1CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N4.3MEDIUMAttack VectorNetworkComment l'attaquant atteint la cibleAttack ComplexityLowConditions requises pour exploiterPrivileges RequiredLowNiveau d'authentification requisUser InteractionNoneSi une action de la victime est requiseScopeUnchangedImpact au-delà du composant affectéConfidentialityNoneRisque d'exposition de données sensiblesIntegrityLowRisque de modification non autorisée de donnéesAvailabilityNoneRisque d'interruption de servicenextguardhq.com · Score de base CVSS v3.1
Que signifient ces métriques?
Attack Vector
Réseau — exploitable à distance via internet. Aucun accès physique ou local requis.
Attack Complexity
Faible — aucune condition spéciale requise. Exploitable de manière fiable.
Privileges Required
Faible — tout compte utilisateur valide est suffisant.
User Interaction
Aucune — attaque automatique et silencieuse. La victime ne fait rien.
Scope
Inchangé — impact limité au composant vulnérable.
Confidentiality
Aucun — aucun impact sur la confidentialité.
Integrity
Faible — l'attaquant peut modifier certaines données avec un impact limité.
Availability
Aucun — aucun impact sur la disponibilité.

Logiciel Affecté

Composantrps-include-content
Fournisseurwordfence
Version maximale1.2.2

Classification de Faiblesse (CWE)

Chronologie

  1. Réservé
  2. Publiée
  3. Modifiée
  4. EPSS mis à jour

Mitigation et Contournementstraduction en cours…

The primary mitigation for CVE-2026-39639 is to upgrade the RPS Include Content plugin to a version that includes the necessary capability checks. If upgrading immediately is not possible due to compatibility issues or breaking changes, consider restricting contributor access to minimize the potential impact. While a direct WAF rule is unlikely to be effective, carefully reviewing and restricting plugin permissions within WordPress can help reduce the attack surface. After upgrading, verify the fix by attempting to perform an action that would normally require administrator privileges while logged in as a contributor.

Comment corriger

Aucun correctif connu n'est disponible. Veuillez examiner en profondeur les détails de la vulnérabilité et mettre en œuvre des mesures d'atténuation en fonction de la tolérance au risque de votre organisation. Il peut être préférable de désinstaller le logiciel affecté et de trouver un remplacement.

Questions fréquentestraduction en cours…

What is CVE-2026-39639 — Unauthorized Access in RPS Include Content?

CVE-2026-39639 is a medium severity vulnerability affecting the RPS Include Content WordPress plugin up to version 1.2.2. It allows authenticated contributors to perform unauthorized actions due to a missing capability check.

Am I affected by CVE-2026-39639 in RPS Include Content?

You are affected if you are using the RPS Include Content plugin in WordPress versions 1.2.2 or earlier. Check your plugin version immediately.

How do I fix CVE-2026-39639 in RPS Include Content?

Upgrade the RPS Include Content plugin to the latest available version, which includes the necessary capability checks to prevent unauthorized access.

Is CVE-2026-39639 being actively exploited?

Currently, there are no known public exploits or active campaigns targeting CVE-2026-39639, but it's crucial to apply the patch proactively.

Where can I find the official RPS Include Content advisory for CVE-2026-39639?

Refer to the official RPS Include Content plugin documentation or the WordPress plugin repository for updates and security advisories related to CVE-2026-39639.

Ton projet est-il affecté ?

Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.

WordPress

Détecte cette CVE dans ton projet

Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.

en directfree scan

Scannez votre projet WordPress maintenant — sans compte

scanZone.subtitle

Scan manuelSlack/email alertsContinuous monitoringWhite-label reports

Glissez-déposez votre fichier de dépendances

composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...