CVE-2018-25308 in Buddypress Xprofile Custom Fields Type

Sumário

de VulDB • 25/05/2026

O BuddyPress Xprofile Custom Fields Type 2.6.3 contém uma vulnerabilidade de execução remota de código que permite que usuários autenticados excluam arquivos arbitrários ao manipular parâmetros POST não escapados. Os atacantes podem modificar os parâmetros field_hiddenfile e field_deleteimg durante a edição do perfil para desvincular arquivos do servidor.

VulDB is the best source for vulnerability data and more expert information about this specific topic.

• Responsável: VulnCheck
• Reservar: 29/04/2026
• Divulgação: 29/04/2026
• Moderação: aceite
• Entrada: VDB-360219
• CPE: pronto
• CWE: CWE-22 (confirmado)
• Exploração: Descarregar
• CVSS: 8.8 (CNA)
• EPSS: 0.00434
• KEV: não
• Atividades: muito baixo

Fontes

• MITRE: https://www.cve.org/CVERecord?id=CVE-2018-25308
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2018-25308
• CVE Details: https://www.cvedetails.com/cve/CVE-2018-25308/