Frontend Dashboard y ProfileGrid: inyección de objetos PHP (CVE-2026-103693)
CVE-2026-103693 (CVSS 9) afecta a los plugins de WordPress Frontend Dashboard y ProfileGrid. Un usuario sin autenticar puede almacenar un objeto PHP serializado en los metadatos de usuario, que se deserializa al ver un perfil público.
Revisado en Shield: sí
Quién está afectado
Sitios WordPress con Frontend Dashboard anterior a la versión 3.0.5 o ProfileGrid anterior a la versión 6.0.0.5.
Cómo comprobar
En el área de administración de WordPress, abre la página Plugins y revisa las versiones instaladas de Frontend Dashboard y ProfileGrid.
Cómo corregirlo
Ya hay parches disponibles: Frontend Dashboard 3.0.5 y ProfileGrid 6.0.0.5. Actualiza los plugins a estas versiones o a una posterior.
Qué comprueba Shield gratis
Shield detecta ProfileGrid / Frontend Dashboard por las direcciones de sus archivos en el código de la página, lee la versión del readme.txt del plugin (la línea Stable tag) o del ?ver= de sus archivos y la compara con la versión corregida 6.0.0.5 / 3.0.5. Si tu versión es menor, el informe mostrará un hallazgo con enlace al CVE. Gratis, en cada análisis. Si el plugin no deja rastros en las páginas, no se ve desde fuera: revisa la versión en tu panel de administración.
Conviene saber
La falla puede provocar la escritura arbitraria de archivos y, potencialmente, la ejecución remota de código; aún no se ha divulgado si se está explotando. Fuente: NVD.
