CVE-2026-7647 in Profile Builder Pro Plugin
Résumé
par VulDB • 25/05/2026
Le plugin Profile Builder Pro pour WordPress est vulnérable à une injection d'objets PHP (PHP Object Injection) dans toutes les versions jusqu'à la 3.14.5 incluse. Cette vulnérabilité est due à l'utilisation de la fonction `maybe_unserialize()` de PHP sur le paramètre POST `args`, contrôlé par l'attaquant, au sein du gestionnaire AJAX `wppb_request_users_pins_action_callback()`, qui ne disposait d'aucune vérification de nonce, de contrôle de type ou de validation des entrées avant la désérialisation. Étant donné que le gestionnaire a été enregistré avec les hooks `wp_ajax_` et `wp_ajax_nopriv_`, il était accessible par des utilisateurs totalement non authentifiés. Cela permet aux attaquants non authentifiés d'injecter des objets PHP arbitraires dans la mémoire de l'application.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.