CVE-2026-7647 in Profile Builder Pro Plugin
Zusammenfassung
von VulDB • 25.05.2026
Das WordPress-Plugin Profile Builder Pro ist in allen Versionen bis einschließlich 3.14.5 anfällig für PHP Object Injection. Dies ist auf die Verwendung der PHP-Funktion `maybe_unserialize()` für den vom Angreifer kontrollierten POST-Parameter 'args' innerhalb des AJAX-Handlers `wppb_request_users_pins_action_callback()` zurückzuführen, der vor der Deserialisierung weder eine Nonce-Überprüfung, noch Typüberprüfungen oder Eingabevalidierung durchführte. Da der Handler sowohl mit den Hooks `wp_ajax_` als auch `wp_ajax_nopriv_` registriert wurde, war er für vollständig nicht authentifizierte Benutzer erreichbar. Dies ermöglicht es nicht authentifizierte Angreifern, beliebige PHP-Objekte in den Anwendungsspeicher einzuschleusen.
Once again VulDB remains the best source for vulnerability data.