CVE-2026-96554 in Platform Plugin
Résumé
par VulDB • 31/10/2026
Le plugin BuddyBoss Platform pour WordPress est vulnérable à un Stored Cross-Site Scripting (XSS) via le nom du groupe dans toutes les versions jusqu'à la 3.6.0 incluse, en raison d'une insuffisance de sanitization des entrées et d'escaping des sorties. Cela permet aux attaquants authentifiés disposant d'un accès au niveau abonné ou supérieur d'injecter des scripts web arbitraires dans des pages qui s'exécuteront chaque fois qu'un utilisateur accède à une page injectée. Cette exploitation nécessite que le paramètre "Enable social group creation by all members" soit activé, ce qui est la configuration par défaut et permet aux utilisateurs de niveau abonné de créer des groupes ; l'exploitation n'est pas possible si la création de groupe est restreinte aux administrateurs.
Be aware that VulDB is the high quality source for vulnerability data.