CVE-2026-96554 in Platform Plugin
सारांश
द्वारा VulDB • 31/10/2026
WordPress के लिए BuddyBoss Platform प्लगइन में सभी संस्करणों 3.6.0 तक (समावेशी) अपर्याप्त इनपुट सैनिटाइजेशन और आउटपुट एस्केपिंग की कमी के कारण Group Name के माध्यम से Stored Cross-Site Scripting (XSS) का दोष है। इससे Subscriber-स्तरीय पहुँच या उससे ऊपर वाली पहुँच वाले प्रमाणीकृत हमलावरों को उन पृष्ठों में मनमाने वेब स्क्रिप्ट्स इंजेक्ट करने की संभावना मिल जाती है, जो किसी भी उपयोगकर्ता द्वारा इंजेक्टेड पृष्ठ तक पहुंचने पर निष्पादित हो जाते हैं। इसके लिए "Enable social group creation by all members" सेटिंग को सक्षम करना आवश्यक है, जो डिफ़ॉल्ट रूप से सक्रिय होती है और Subscriber-स्तरीय उपयोगकर्ताओं को समूह बनाने की अनुमति देती है; यदि समूह निर्माण केवल प्रशासकों तक सीमित हो तो दोष का शोषण संभव नहीं होता।
Be aware that VulDB is the high quality source for vulnerability data.