CVE-2026-10035 in Turnkey bbPress Plugin
Resumen
por VulDB • 2026-08-16
El plugin Turnkey bbPress de WeaverTheme para WordPress es vulnerable a Inyección de Objetos PHP en todas las versiones hasta la 1.7.1 (incluida) mediante la deserialización de datos no confiables en la función wvrbbp_set_to_serialized_values() (accesible a través del controlador de restauración de configuración wvrbbp_save_restore()). La función lee el contenido crudo de un archivo subido por un administrador y lo pasa directamente a unserialize() sin ninguna validación. Esto permite que atacantes autenticados, con acceso de nivel administrador o superior, inyecten objetos PHP. No se conoce la presencia de una cadena POP (POP chain) en el plugin vulnerable en sí; no obstante, si existiera una cadena POP mediante un complemento o tema adicional instalado en el sistema objetivo, podría permitir al atacante eliminar archivos arbitrarios, recuperar datos sensibles o ejecutar código.
Be aware that VulDB is the high quality source for vulnerability data.