Deze pagina is nog niet vertaald naar uw taal. We werken eraan — de inhoud wordt voorlopig in het Engels weergegeven.

💡 Keep dependencies up to date — most exploits target known, patchable vulnerabilities.

MEDIUMCVE-2026-39639CVSS 4.3

CVE-2026-39639: Unauthorized Access in RPS Include Content

Platform

wordpress

Component

rps-include-content

Wordt vertaald naar uw taal…

CVE-2026-39639 describes an unauthorized access vulnerability within the RPS Include Content plugin for WordPress. This flaw allows authenticated users with contributor-level access or higher to execute actions they shouldn't be able to. The vulnerability impacts versions of the plugin up to and including 1.2.2, and a fix is available in later versions.

WordPress

Detecteer deze CVE in je project

Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.

Impact en Aanvalsscenarioswordt vertaald…

The primary impact of CVE-2026-39639 is the potential for unauthorized actions within a WordPress site. An attacker, already logged in with a contributor account (or higher), can leverage this missing capability check to bypass access controls and perform actions typically restricted to administrators or other privileged roles. This could include modifying content, installing plugins, or altering site settings, leading to data compromise, defacement, or even complete site takeover. The blast radius is limited to the scope of actions the contributor account can perform, but the potential for damage is still significant.

Uitbuitingscontextwordt vertaald…

CVE-2026-39639 was published on 2026-02-14. Its severity is currently assessed as medium. No public proof-of-concept exploits are currently known. The vulnerability is not listed on KEV or EPSS, indicating a low to medium probability of exploitation. Monitor WordPress security forums and vulnerability databases for any updates.

Dreigingsinformatie

Exploit Status

Proof of ConceptOnbekend
CISA KEVNO
InternetblootstellingHoog

EPSS

0.03% (8% percentiel)

CVSS-vector

DREIGINGSINFORMATIE· CVSS 3.1CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N4.3MEDIUMAttack VectorNetworkHoe de aanvaller het doel bereiktAttack ComplexityLowVereiste omstandigheden om te exploiterenPrivileges RequiredLowVereist authenticatieniveau voor aanvalUser InteractionNoneOf het slachtoffer actie moet ondernemenScopeUnchangedImpact buiten het getroffen onderdeelConfidentialityNoneRisico op blootstelling van gevoelige dataIntegrityLowRisico op ongeautoriseerde gegevenswijzigingAvailabilityNoneRisico op verstoring van dienstennextguardhq.com · CVSS v3.1 Basisscore
Wat betekenen deze metrics?
Attack Vector
Netwerk — op afstand uitbuitbaar via internet. Geen fysieke of lokale toegang vereist.
Attack Complexity
Laag — geen speciale voorwaarden vereist. Betrouwbaar uitbuitbaar.
Privileges Required
Laag — elk geldig gebruikersaccount is voldoende.
User Interaction
Geen — automatische en stille aanval. Slachtoffer doet niets.
Scope
Ongewijzigd — impact beperkt tot het kwetsbare component.
Confidentiality
Geen — geen vertrouwelijkheidsimpact.
Integrity
Laag — aanvaller kan enkele gegevens met beperkte omvang aanpassen.
Availability
Geen — geen beschikbaarheidsimpact.

Getroffen Software

Componentrps-include-content
Leverancierwordfence
Maximumversie1.2.2

Zwakheidsclassificatie (CWE)

Tijdlijn

  1. Gereserveerd
  2. Gepubliceerd
  3. Gewijzigd
  4. EPSS bijgewerkt

Mitigatie en Workaroundswordt vertaald…

The primary mitigation for CVE-2026-39639 is to upgrade the RPS Include Content plugin to a version that includes the necessary capability checks. If upgrading immediately is not possible due to compatibility issues or breaking changes, consider restricting contributor access to minimize the potential impact. While a direct WAF rule is unlikely to be effective, carefully reviewing and restricting plugin permissions within WordPress can help reduce the attack surface. After upgrading, verify the fix by attempting to perform an action that would normally require administrator privileges while logged in as a contributor.

Hoe te verhelpen

Geen bekende patch beschikbaar. Bestudeer de details van de kwetsbaarheid grondig en pas mitigaties toe op basis van de risicotolerantie van uw organisatie. Het kan het beste zijn om de getroffen software te verwijderen en een vervanging te vinden.

Veelgestelde vragenwordt vertaald…

What is CVE-2026-39639 — Unauthorized Access in RPS Include Content?

CVE-2026-39639 is a medium severity vulnerability affecting the RPS Include Content WordPress plugin up to version 1.2.2. It allows authenticated contributors to perform unauthorized actions due to a missing capability check.

Am I affected by CVE-2026-39639 in RPS Include Content?

You are affected if you are using the RPS Include Content plugin in WordPress versions 1.2.2 or earlier. Check your plugin version immediately.

How do I fix CVE-2026-39639 in RPS Include Content?

Upgrade the RPS Include Content plugin to the latest available version, which includes the necessary capability checks to prevent unauthorized access.

Is CVE-2026-39639 being actively exploited?

Currently, there are no known public exploits or active campaigns targeting CVE-2026-39639, but it's crucial to apply the patch proactively.

Where can I find the official RPS Include Content advisory for CVE-2026-39639?

Refer to the official RPS Include Content plugin documentation or the WordPress plugin repository for updates and security advisories related to CVE-2026-39639.

Is jouw project getroffen?

Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.

WordPress

Detecteer deze CVE in je project

Upload je dependency-bestand en kom direct te weten of deze en andere CVEs jou raken.

livefree scan

Scan nu uw WordPress project — geen account

Upload een manifest (composer.lock, package-lock.json, WordPress pluginlijst…) of plak uw componentenlijst. U ontvangt direct een kwetsbaarheidsrapport. Een bestand uploaden is slechts het begin: met een account krijgt u continue monitoring, Slack/e-mail alerts, multi-project en white-label rapporten.

Manual scanSlack/email alertsscanZone.capMonitorWhite-label reports

Sleep uw afhankelijkheidsbestand hierheen

composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...