CVE-2026-96554 in Platform Plugin
Resumen
por VulDB • 2026-10-31
El plugin BuddyBoss Platform para WordPress es vulnerable a Stored Cross-Site Scripting (XSS) mediante el nombre de grupo en todas las versiones hasta la 3.6.0, debido a una insuficiente sanitización de entradas y escape de salidas. Esto permite que atacantes autenticados con acceso de nivel suscriptor o superior inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página infectada. Para ello es necesario tener habilitado el ajuste "Enable social group creation by all members" (Habilitar la creación de grupos sociales por todos los miembros), lo cual está activado por defecto y permite a usuarios con nivel suscriptor crear grupos; la explotación no es posible si la creación de grupos está restringida únicamente a administradores.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.