Esta página ainda não foi traduzida para o seu idioma. Exibindo conteúdo em inglês enquanto trabalhamos nisso.

💡 Keep dependencies up to date — most exploits target known, patchable vulnerabilities.

MEDIUMCVE-2026-39639CVSS 4.3

CVE-2026-39639: Unauthorized Access in RPS Include Content

Plataforma

wordpress

Componente

rps-include-content

Traduzindo para o seu idioma…

CVE-2026-39639 describes an unauthorized access vulnerability within the RPS Include Content plugin for WordPress. This flaw allows authenticated users with contributor-level access or higher to execute actions they shouldn't be able to. The vulnerability impacts versions of the plugin up to and including 1.2.2, and a fix is available in later versions.

WordPress

Detecte esta CVE no seu projeto

Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.

Impacto e Cenários de Ataquetraduzindo…

The primary impact of CVE-2026-39639 is the potential for unauthorized actions within a WordPress site. An attacker, already logged in with a contributor account (or higher), can leverage this missing capability check to bypass access controls and perform actions typically restricted to administrators or other privileged roles. This could include modifying content, installing plugins, or altering site settings, leading to data compromise, defacement, or even complete site takeover. The blast radius is limited to the scope of actions the contributor account can perform, but the potential for damage is still significant.

Contexto de Exploraçãotraduzindo…

CVE-2026-39639 was published on 2026-02-14. Its severity is currently assessed as medium. No public proof-of-concept exploits are currently known. The vulnerability is not listed on KEV or EPSS, indicating a low to medium probability of exploitation. Monitor WordPress security forums and vulnerability databases for any updates.

Inteligência de Ameaças

Status do Exploit

Prova de ConceitoDesconhecido
CISA KEVNO
Exposição na InternetAlta

EPSS

0.03% (percentil 8%)

Vetor CVSS

INTELIGÊNCIA DE AMEAÇAS· CVSS 3.1CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N4.3MEDIUMAttack VectorNetworkComo o atacante alcança o alvoAttack ComplexityLowCondições necessárias para explorarPrivileges RequiredLowNível de autenticação necessárioUser InteractionNoneSe a vítima precisa tomar uma açãoScopeUnchangedImpacto além do componente afetadoConfidentialityNoneRisco de exposição de dados sensíveisIntegrityLowRisco de modificação não autorizada de dadosAvailabilityNoneRisco de interrupção de serviçonextguardhq.com · Pontuação Base CVSS v3.1
O que significam essas métricas?
Attack Vector
Rede — explorável remotamente pela internet. Sem acesso físico ou local necessário.
Attack Complexity
Baixa — sem condições especiais. O atacante pode explorar de forma confiável.
Privileges Required
Baixo — qualquer conta de usuário válida é suficiente.
User Interaction
Nenhuma — ataque automático e silencioso. A vítima não faz nada.
Scope
Inalterado — impacto limitado ao componente vulnerável.
Confidentiality
Nenhum — sem impacto na confidencialidade.
Integrity
Baixo — o atacante pode modificar alguns dados com alcance limitado.
Availability
Nenhum — sem impacto na disponibilidade.

Software Afetado

Componenterps-include-content
Fornecedorwordfence
Versão máxima1.2.2

Classificação de Fraqueza (CWE)

Linha do tempo

  1. Reservado
  2. Publicada
  3. Modificada
  4. EPSS atualizado

Mitigação e Soluções Alternativastraduzindo…

The primary mitigation for CVE-2026-39639 is to upgrade the RPS Include Content plugin to a version that includes the necessary capability checks. If upgrading immediately is not possible due to compatibility issues or breaking changes, consider restricting contributor access to minimize the potential impact. While a direct WAF rule is unlikely to be effective, carefully reviewing and restricting plugin permissions within WordPress can help reduce the attack surface. After upgrading, verify the fix by attempting to perform an action that would normally require administrator privileges while logged in as a contributor.

Como corrigir

Nenhum patch conhecido disponível. Por favor, revise os detalhes da vulnerabilidade em profundidade e empregue mitigações com base na tolerância ao risco da sua organização. Pode ser melhor desinstalar o software afetado e encontrar um substituto.

Perguntas frequentestraduzindo…

What is CVE-2026-39639 — Unauthorized Access in RPS Include Content?

CVE-2026-39639 is a medium severity vulnerability affecting the RPS Include Content WordPress plugin up to version 1.2.2. It allows authenticated contributors to perform unauthorized actions due to a missing capability check.

Am I affected by CVE-2026-39639 in RPS Include Content?

You are affected if you are using the RPS Include Content plugin in WordPress versions 1.2.2 or earlier. Check your plugin version immediately.

How do I fix CVE-2026-39639 in RPS Include Content?

Upgrade the RPS Include Content plugin to the latest available version, which includes the necessary capability checks to prevent unauthorized access.

Is CVE-2026-39639 being actively exploited?

Currently, there are no known public exploits or active campaigns targeting CVE-2026-39639, but it's crucial to apply the patch proactively.

Where can I find the official RPS Include Content advisory for CVE-2026-39639?

Refer to the official RPS Include Content plugin documentation or the WordPress plugin repository for updates and security advisories related to CVE-2026-39639.

Seu projeto está afetado?

Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.

WordPress

Detecte esta CVE no seu projeto

Envie seu arquivo de dependências e descubra na hora se esta e outras CVEs te atingem.

ao vivoverificação gratuita

Escaneie seu projeto WordPress agora — sem conta

Faça upload de qualquer manifesto (composer.lock, package-lock.json, lista de plugins WordPress…) ou cole sua lista de componentes. Receba um relatório de vulnerabilidades instantaneamente. Fazer upload de um arquivo é só o começo: com uma conta, você obtém monitoramento contínuo, alertas por Slack/email, relatórios multiprojeto e white-label.

Escaneamento manualAlertas por Slack/e-mailMonitoramento ContínuoRelatórios de marca branca

Arraste e solte seu arquivo de dependências

composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...