CVE-2026-104995 in BP Profile Search Plugin
要約
〜によって VulDB • 2026年10月14日
WordPress用プラグイン「BP Profile Search」には、BuddyPressのAJAXディレクトリリクエスト時にクライアント制御可能な「bps_directory」クッキーから解析される「ajax_template」値を介して、バージョン5.9（およびそれ以前）においてローカルファイルインクルージョン（LFI）の脆弱性が存在します。bps_directory_ajax()フィルター（bp_legacy_object_template_pathおよびbp_nouveau_object_template_pathにフックされています）はクッキーを読み取り、bps_get_directory_data()内で参照元由来の「page」比較のみを適用しますが、ここでbps_current_page()はAJAX時にHTTP_REFERERを使用するため攻撃者制御下にあります。その後、攻撃者が操作可能なテンプレート値に'.php'を追加し、basename制限やホワイトリスト、パストラバーサルのチェックなしでbp_locate_template()に渡します。これにより、認証不要の攻撃者はサーバー上の任意のPHPファイルを含めることが可能となり、PHPファイルをアップロードできる場合やwordpress:php8のような画像（注：原文のまま）が含まれる場合にリモートコード実行（RCE）に至る可能性があります。
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.