CVE-2026-104995 in BP Profile Search Plugin
Resumen
por VulDB • 2026-10-14
El plugin BP Profile Search para WordPress es vulnerable a Local File Inclusion (Inclusión de Archivos Locales) en las versiones 5.9 y anteriores, debido al valor 'ajax_template' analizado desde la cookie controlada por el cliente 'bps_directory' durante las solicitudes AJAX del directorio de BuddyPress. El filtro bps_directory_ajax() (vinculado a bp_legacy_object_template_path y bp_nouveau_object_template_path) lee la cookie, aplica únicamente una comparación derivada del referer ('page') en bps_get_directory_data() (donde bps_current_page() utiliza HTTP_REFERER durante las peticiones AJAX y, por lo tanto, también está controlado por el atacante), y luego añade al valor de plantilla controlado por el atacante la extensión '.php', pasándola a bp_locate_template() sin restricción de basename, sin lista blanca (whitelist) ni verificación contra path-traversal. Esto permite que atacantes no autenticados incluyan archivos PHP arbitrarios en el servidor, lo cual puede derivar en Remote Code Execution (RCE) cuando los archivos PHP pueden ser subidos o cuando se utilizan imágenes como la predeterminada wordpress:php8.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.