CVE-2026-18385

WordPress üçün olan The Paid Membership Plugin, Ecommerce, User Registration Form, Login Form, User Profile & Restrict Content – ProfilePress plagini 4.16.19 versiyası daxil olmaqla bütün versiyalarda ixtiyari shortcode icrasına qarşı həssasdır. Bu, proqram təminatının istifadəçilərə do_shortcode funksiyasını işə salmazdan əvvəl dəyəri düzgün şəkildə yoxlamayan bir hərəkəti yerinə yetirməyə icazə verməsi ilə bağlıdır. Bu, abunəçi səviyyəsində və daha yüksək giriş hüququna malik autentifikasiya olunmuş hücumçulara ixtiyari shortcod-ları icra etməyə imkan verir. [profile-first-name] və [profile-last-name] üzərində strip_shortcodes() vasitəsilə tətbiq edilən qismən təhlükəsizlik tədbiri [profile-display-name format="first_last_names"] render yolu, [profile-bio] render yolu (hansı ki, xam təsvir metasını yenidən götürür) və ikiqat mötərizəli qaçış ardıcıllığı [[tag]] vasitəsilə yan keçilə bilər; bunların hamısı hücumçu tərəfindən idarə olunan shortcode mətninin xarici do_shortcode() çağırışına çatmasına şərait yaradır.