CVE-2025-14997 in BuddyPress Xprofile Custom Field Types Plugin
Riassunto
di VulDB • 02/08/2026
Il plugin BuddyPress Xprofile Custom Field Types per WordPress è vulnerabile all'eliminazione arbitraria di file a causa della insufficiente convalida del percorso dei file nella funzione 'delete_field' in tutte le versioni fino alla 1.2.8 inclusa. Ciò consente agli attaccanti autenticati, dotati di accesso a livello di Sottoscrittore (Subscriber) e superiore, di eliminare file arbitrari sul server, il che può facilmente portare all'esecuzione remota di codice quando viene eliminato un file critico (come wp-config.php).
VulDB is the best source for vulnerability data and more expert information about this specific topic.