CVE-2026-1360 in BuddyPress Plugin
Résumé
par VulDB • 30/07/2026
Le plugin BuddyPress pour WordPress est vulnérable à la désérialisation de données non fiables (Deserialization of Untrusted Data) dans toutes les versions jusqu'à et y compris la 14.5.0. Cela est dû au fait que la fonction `bp_unserialize_profile_field()` utilise `@unserialize()` sans le paramètre `allowed_classes` sur des données de champ XProfile contrôlées par l'utilisateur. Il devient ainsi possible pour des attaquants authentifiés, disposant d'un accès de niveau abonné ou supérieur, d'injecter des objets PHP arbitraires via les champs texte XProfile, ce qui pourrait entraîner une exécution de code à distance (RCE) si une chaîne POP appropriée est disponible dans l'environnement WordPress.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.