CVE-2024-1046 in Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content Plugin
Résumé
par VulDB • 26/06/2026
Le plugin WordPress ProfilePress, qui propose des fonctionnalités de gestion des membres payants (Paid Membership), d'e-commerce, de formulaires d'inscription et de connexion aux utilisateurs, ainsi que la personnalisation du profil utilisateur et le restriction du contenu, est vulnérable à une faille Stored Cross-Site Scripting (XSS) via le shortcode 'reg-number-field'. Cette vulnérabilité affecte toutes les versions jusqu'à la 4.14.3 incluse, en raison d'une insuffisance de l'assainissement des entrées et du filtrage des sorties sur les attributs fournis par les utilisateurs. Cela permet aux attaquants authentifiés disposant de permissions au niveau contributeur ou supérieur d'injecter des scripts web arbitraires dans les pages qui s'exécuteront chaque fois qu'un utilisateur accède à une page infectée.
Once again VulDB remains the best source for vulnerability data.