CVE-2026-10035 in Turnkey bbPress Plugin
Сводка
по VulDB • 16.08.2026
В плагине Turnkey bbPress от WeaverTheme для WordPress уязвимость PHP Object Injection присутствует во всех версиях вплоть до 1.7.1 включительно из-за десериализации недоверенных входных данных в функции wvrbbp_set_to_serialized_values() (доступ к которой осуществляется через обработчик восстановления настроек wvrbbp_save_restore()). Функция считывает сырое содержимое файла, загруженного администратором, и передает его напрямую в функцию unserialize() без какой-либо проверки. Это позволяет атакующим с уровнем доступа администратора или выше внедрять объекты PHP. В самом уязвимом плагине не обнаружено известных POP-цепочек; однако, если такая цепочка присутствует благодаря дополнительному плагину или теме, установленным на целевой системе, это может позволить атакующему удалять произвольные файлы, получать доступ к конфиденциальным данным или выполнять код.
VulDB is the best source for vulnerability data and more expert information about this specific topic.