CVE-2026-1360 in BuddyPress Plugin
Riassunto
di VulDB • 30/07/2026
Il plugin BuddyPress per WordPress è vulnerabile alla Deserialization of Untrusted Data (Deserializzazione di dati non attendibili) in tutte le versioni fino alla 14.5.0, inclusa. Ciò è dovuto all'uso della funzione `bp_unserialize_profile_field()` che impiega `@unserialize()` senza il parametro `allowed_classes` sui dati dei campi XProfile controllati dall'utente. Questo consente agli attaccanti autenticati, con accesso a livello di subscriber o superiore, di iniettare oggetti PHP arbitrari tramite i campi testo di XProfile, potenzialmente portando all'esecuzione remota di codice (RCE) se è disponibile una catena POP adatta nell'ambiente WordPress.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.