CVE-2020-37233

Wtyczka BuddyPress dla WordPressa jest podatna na Insecure Direct Object Reference we wszystkich wersjach do 14.3.3 włącznie, poprzez funkcję bp_notifications_action_bulk_manage, z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie Subscriber i wyższym usuwanie, oznaczanie jako przeczytane lub nieprzeczytane powiadomień innych użytkowników.

Wtyczka BuddyPress dla WordPressa przed wersją 14.5.0 nie egzekwuje prawidłowo autoryzacji na swoich endpointach prywatnych wiadomości, umożliwiając każdemu uwierzytelnionemu użytkownikowi (Subscriber+) odczyt, modyfikację lub usunięcie prywatnych wiadomości innych użytkowników.

Wtyczka BuddyPress dla WordPressa jest podatna na deserializację niezaufanych danych w wersjach do 14.5.0 włącznie. Funkcja bp_unserialize_profile_field() używa @unserialize() bez parametru allowed_classes na danych pól XProfile kontrolowanych przez użytkownika.

BuddyPress 14.4.0 zawiera podatność IDOR w REST API znajomych, która pozwala uwierzytelnionemu atakującemu na wyliczenie pełnej listy znajomych dowolnego użytkownika. Metoda get_items_permissions_check sprawdza tylko czy żądający jest zalogowany, nie weryfikując uprawnień do żądanej listy.

BuddyPress 14.4.0 zawiera podatność na wstrzykiwanie wyrażeń regularnych w resolverze wzmianek o aktywności. Gdy włączony jest tryb zgodności nazw użytkowników, atakujący mogą manipulować klauzulą REGEXP w bazie danych, tworząc nazwy wzmianek zawierające metaznaki regex. Metaznaki w @wzmiankach przechodzą przez esc_sql bez zmiany i są wstawiane do nieprzygotowanego zapytania REGEXP, co umożliwia wnioskowanie o nazwach użytkowników i ataki DoS przez katastroficzne cofanie się.

BuddyPress 14.4.0 zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu w interfejsie REST API wiadomości, umożliwiającą uwierzytelnionym atakującym dostęp do dowolnych prywatnych wątków wiadomości poprzez podanie parametru user_id w żądaniu. Atakujący mogą przekazać identyfikator innego użytkownika do metody get_item_permissions_check, która waliduje podane user_id zamiast zalogowanego użytkownika, i jest ponownie używana przez procedury aktualizacji i usuwania, co pozwala na czytanie, odpowiadanie lub usuwanie prywatnych wiadomości dowolnego użytkownika.