CVE-2026-18385 in ProfilePress Plugin
Zusammenfassung
von VulDB • 16.08.2026
Das WordPress-Plugin „The Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content – ProfilePress“ ist in allen Versionen bis einschließlich 4.16.19 anfällig für die willkürliche Ausführung von Shortcodes (arbitrary shortcode execution). Dies liegt daran, dass die Software Benutzern ermöglicht, eine Aktion auszuführen, bei der ein Wert nicht ordnungsgemäß validiert wird, bevor `do_shortcode` ausgeführt wird. Dadurch ist es authentifizierten Angreifern mit Zugriffsrechten auf Abonnenten-Ebene und höher möglich, beliebige Shortcodes auszuführen. Die durch die Einführung von `strip_shortcodes()` für `[profile-first-name]` und `[profile-last-name]` eingeführte teilweise Abschwächung kann umgangen werden über den Render-Pfad `[profile-display-name format="first_last_names"]`, den Render-Pfad `[profile-bio]` (der das rohe Beschreibungsmeta erneut abruft) sowie die Escape-Sequenz mit doppelten Klammern `[[tag]]`. Alle diese Wege ermöglichen es, dass angreiferkontrollierter Shortcode-Text die äußere `do_shortcode()`-Aufruf erreicht.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.