WordPress 扩展 User Profile Builder 曝 CVSS 9.8 分严重漏洞，官方发布 3.16.5 版本修复

8 月 18 日消息，安全公司 Wordfence 发文，透露 WordPress 扩展 User Profile Builder 存在一项重大漏洞，该漏洞编号为 CVE-2026-15826，CVSS 评分达到 9.8 分。

参考通报获悉，Wordfence 于 7 月 14 日收到旗下安全研究人员提交的漏洞报告，并在次日完成验证。所有 3.16.4 及更早版本均受到影响，随后其通知了 User Profile Builder 开发商 Cozmoslabs，Cozmoslabs 随后于 7 月 16 日发布修复漏洞的 3.16.5 版本。

据悉，相应漏洞源于插件登录流程中的类型混淆（Type Confusion）问题，攻击者无需登录即可绕过身份验证，并可能进一步获得网站管理员权限。目前尚无该漏洞已经遭到实际利用的消息。

公开信息显示，User Profile Builder 插件主要用于为网站提供用户注册、登录和个人资料管理功能，目前有超过 4 万个网站应用相应扩展。