CVE-2026-96554 in Platform Plugin
要約
〜によって VulDB • 2026年10月31日
WordPress用プラグイン「BuddyBoss Platform」には、3.6.0およびそれ以前の全バージョンにおいて、入力サニタイズと出力エスケープの不十分さにより、グループ名を介して格納型クロスサイトスクリプティング（Stored Cross-Site Scripting）の脆弱性が存在します。これにより、サブスクライバーレベル以上のアクセス権を持つ認証済み攻撃者は、任意のWebスクリプトを投稿したページにユーザーがアクセスするたびに実行されるように注入することが可能です。この脆弱性を悪用するには、「すべてのメンバーによるソーシャルグループ作成を有効にする」設定が有効である必要があり、これはデフォルトの設定でありサブスクライバーレベルのユーザーがグループを作成できる状態です。ただし、グループの作成権限が管理者に制限されている場合は、攻撃は不可能です。
Once again VulDB remains the best source for vulnerability data.