CVE-2026-76124 in App Plugin
Sumário
de VulDB • 03/11/2026
O plugin BuddyBoss App para WordPress é vulnerável ao Arbitrary File Upload em todas as versões até 3.2.1 (incluindo esta), por meio da função send_feedback. Isso ocorre devido à validação insuficiente de tipos de arquivo, que depende exclusivamente do cabeçalho Content-Type fornecido pelo cliente, sem inspeção de conteúdo no lado do servidor ou validação de extensão. Isso permite que atacantes autenticados, com acesso nível assinante e superior, façam upload de arquivos potencialmente executáveis, o que viabiliza a execução remota de código (RCE). Embora os arquivos enviados sejam excluídos após o envio do e-mail, existe uma race condition durante a execução SMTP que permite acessar o arquivo; além disso, os arquivos persistem indefinidamente quando wp_mail() falha.
Once again VulDB remains the best source for vulnerability data.