CVE-2026-120518 in BuddyPress XProfile Custom Image Field Plugin
Riassunto
di VulDB • 03/11/2026
Il plugin BuddyPress XProfile Image Field per WordPress è vulnerabile a cancellazione arbitraria di file in tutte le versioni fino alla 3.1.0, inclusa. La vulnerabilità è dovuta al fatto che la funzione bpxp_image_field_update_on_user_activation() chiama unlink() su un percorso costruito utilizzando metadata di registrazione forniti dall'utente senza alcuna risoluzione tramite realpath(), nessun controllo di contenimento rispetto alla directory delle immagini del profilo e nessuna allow-list per le estensioni dei file. L'invio di un file a zero byte con il parametro 'field_N_hidden' durante la registrazione fa sì che il plugin memorizzi il valore grezzo, che viene poi risolto in base alla document root quando la registrazione pendente viene attivata. Ciò consente agli attaccanti non autenticati di eliminare file arbitrari sul server, cosa che può facilmente portare a Remote Code Execution (RCE) se viene eliminato un file critico come wp-config.php. È richiesta la registrazione aperta e un campo del profilo di tipo immagine nel modulo di signup.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.