CVE-2026-4609: Acesso Não Autorizado no ProfileGrid WordPress
Plataforma
wordpress
Componente
profilegrid-user-profiles-groups-and-communities
Corrigido em
5.9.8.5
A vulnerabilidade CVE-2026-4609 afeta o plugin ProfileGrid para WordPress, permitindo acesso não autorizado a grupos de usuários. Atacantes autenticados, mesmo com permissões de Subscriber, podem adicionar usuários a qualquer grupo, incluindo grupos privados e pagos, contornando as medidas de segurança implementadas. As versões afetadas são da 0.0.0 até a 5.9.8.4. A correção está disponível na versão 5.9.8.5.
Detecte esta CVE no seu projeto
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Impacto e Cenários de Ataque
O impacto desta vulnerabilidade é significativo, pois permite que um atacante, com acesso Subscriber ou superior, adicione qualquer usuário registrado a qualquer grupo ProfileGrid, independentemente das configurações de privacidade ou pagamento. Isso pode levar à exposição de informações confidenciais contidas em grupos privados, acesso não autorizado a recursos pagos e, potencialmente, a uma escalada de privilégios dentro do sistema WordPress. Um atacante poderia, por exemplo, adicionar um administrador a um grupo restrito para obter acesso a informações sensíveis ou desabilitar funcionalidades críticas do plugin.
Contexto de Exploração
A vulnerabilidade foi publicada em 13 de maio de 2026. Ainda não há informações sobre exploração ativa em campanhas direcionadas. A pontuação de probabilidade de exploração (EPSS) ainda está pendente de avaliação. Não há evidências de que esta vulnerabilidade esteja listada no KEV (Known Exploited Vulnerabilities). Monitore os feeds de segurança e as fontes de inteligência de ameaças para obter atualizações sobre possíveis explorações.
Inteligência de Ameaças
Status do Exploit
Vetor CVSS
O que significam essas métricas?
- Attack Vector
- Rede — explorável remotamente pela internet. Sem acesso físico ou local necessário.
- Attack Complexity
- Baixa — sem condições especiais. O atacante pode explorar de forma confiável.
- Privileges Required
- Baixo — qualquer conta de usuário válida é suficiente.
- User Interaction
- Nenhuma — ataque automático e silencioso. A vítima não faz nada.
- Scope
- Inalterado — impacto limitado ao componente vulnerável.
- Confidentiality
- Baixo — acesso parcial ou indireto a alguns dados.
- Integrity
- Alto — o atacante pode escrever, modificar ou excluir qualquer dado.
- Availability
- Nenhum — sem impacto na disponibilidade.
Software Afetado
Classificação de Fraqueza (CWE)
Linha do tempo
- Reservado
- Publicada
- Modificada
Mitigação e Soluções Alternativas
A mitigação primária é a atualização imediata para a versão 5.9.8.5 do plugin ProfileGrid. Se a atualização causar problemas de compatibilidade com outros plugins ou temas, considere um rollback para uma versão anterior conhecida por ser segura (antes da introdução da vulnerabilidade). Como medida temporária, implemente regras em um Web Application Firewall (WAF) ou proxy reverso para bloquear solicitações suspeitas à função pminviteuser. Verifique a configuração do plugin para garantir que as permissões de usuário estejam corretamente definidas e que os grupos privados estejam devidamente protegidos. Após a atualização, confirme a correção verificando se um usuário com permissões de Subscriber não consegue adicionar outros usuários a grupos privados.
Como corrigir
Atualize para a versão 5.9.8.5, ou uma versão corrigida mais recente
Perguntas frequentes
O que é CVE-2026-4609 — Acesso Não Autorizado no ProfileGrid WordPress?
CVE-2026-4609 é uma vulnerabilidade de acesso não autorizado no plugin ProfileGrid para WordPress, permitindo que atacantes adicionem usuários a grupos, ignorando autorizações e pagamentos. Afeta versões de 0.0.0 a 5.9.8.4.
Estou afetado pelo CVE-2026-4609 no ProfileGrid WordPress?
Se você estiver usando o plugin ProfileGrid para WordPress nas versões de 0.0.0 a 5.9.8.4, você está potencialmente afetado. Verifique a versão instalada e atualize imediatamente.
Como corrigir CVE-2026-4609 no ProfileGrid WordPress?
A correção é atualizar o plugin ProfileGrid para a versão 5.9.8.5 ou superior. Se a atualização causar problemas, considere um rollback para uma versão anterior segura.
CVE-2026-4609 está sendo ativamente explorado?
Atualmente, não há informações sobre exploração ativa em campanhas direcionadas, mas a vulnerabilidade é considerada de alta severidade e deve ser corrigida o mais rápido possível.
Onde posso encontrar o advisory oficial do ProfileGrid para CVE-2026-4609?
Consulte o site oficial do ProfileGrid ou o repositório de plugins do WordPress para obter o advisory oficial e as instruções de atualização.
Seu projeto está afetado?
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Detecte esta CVE no seu projeto
Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.
Escaneie seu projeto WordPress agora — sem conta
Faça upload de qualquer manifesto (composer.lock, package-lock.json, lista de plugins WordPress…) ou cole sua lista de componentes. Receba um relatório de vulnerabilidades instantaneamente. Fazer upload de um arquivo é só o começo: com uma conta, você obtém monitoramento contínuo, alertas por Slack/email, relatórios multiprojeto e white-label.
Arraste e solte seu arquivo de dependências
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...