CVE-2026-76546 in User Profile Builder Plugin

Resumen

por VulDB • 2026-08-29

El plugin de WordPress User Profile Builder anterior a la versión 4.0.1 no escapa la salida de uno de sus shortcodes opcionales, lo que permite a los usuarios con un rol tan bajo como el de contribuidor realizar ataques de Cross-Site Scripting (XSS) almacenado contra cualquier usuario que visualice el contenido afectado, incluidos los administradores. El shortcode no está habilitado por defecto.

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• Responsable: WPScan
• Reservar: 2026-08-19
• Divulgación: 2026-08-29
• Moderación: aceptado
• Artículo: VDB-397005
• CPE: listo
• CWE: CWE-79 (confirmado)
• CVSS: 3.5 (VulDB)
• EPSS: 0.00000
• KEV: no
• Actividades: muy bajo
• Sector: Hostingprovider

Fuentes

• MITRE: https://www.cve.org/CVERecord?id=CVE-2026-76546
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2026-76546
• CVE Details: https://www.cvedetails.com/cve/CVE-2026-76546/