CVE-2024-12145
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka BuddyPress dla WordPressa jest podatna na Insecure Direct Object Reference we wszystkich wersjach do 14.3.3 włącznie, poprzez funkcję bp_notifications_action_bulk_manage, z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie Subscriber i wyższym usuwanie, oznaczanie jako przeczytane lub nieprzeczytane powiadomień innych użytkowników.
Ocena ryzyka
Uwierzytelniony atakujący z niskimi uprawnieniami może modyfikować lub usuwać powiadomienia innych użytkowników, co narusza integralność danych i może być wykorzystane do działań zakłócających. Ryzyko dotyczy wszystkich instalacji BuddyPress z podatną wersją.
Rekomendacja
Zaktualizuj wtyczkę BuddyPress do wersji nowszej niż 14.3.3, która zawiera poprawkę. Jeśli aktualizacja nie jest możliwa, rozważ ograniczenie uprawnień użytkowników lub monitorowanie nietypowych operacji na powiadomieniach.
Inne podatności w BuddyPress
Zobacz wszystkie- CVE-2026-8155Średnie
Wtyczka BuddyPress dla WordPressa przed wersją 14.5.0 nie egzekwuje prawidłowo autoryzacji na swoich endpointach prywatnych wiadomości, umożliwiając każdemu uwierzytelnionemu użytkownikowi (Subscriber+) odczyt, modyfikację lub usunięcie prywatnych wiadomości innych użytkowników.
- CVE-2026-1360Wysokie
Wtyczka BuddyPress dla WordPressa jest podatna na deserializację niezaufanych danych w wersjach do 14.5.0 włącznie. Funkcja bp_unserialize_profile_field() używa @unserialize() bez parametru allowed_classes na danych pól XProfile kontrolowanych przez użytkownika.
- CVE-2026-53675Średnie
BuddyPress 14.4.0 zawiera podatność IDOR w REST API znajomych, która pozwala uwierzytelnionemu atakującemu na wyliczenie pełnej listy znajomych dowolnego użytkownika. Metoda get_items_permissions_check sprawdza tylko czy żądający jest zalogowany, nie weryfikując uprawnień do żądanej listy.
- CVE-2026-53674Wysokie
BuddyPress 14.4.0 zawiera podatność na wstrzykiwanie wyrażeń regularnych w resolverze wzmianek o aktywności. Gdy włączony jest tryb zgodności nazw użytkowników, atakujący mogą manipulować klauzulą REGEXP w bazie danych, tworząc nazwy wzmianek zawierające metaznaki regex. Metaznaki w @wzmiankach przechodzą przez esc_sql bez zmiany i są wstawiane do nieprzygotowanego zapytania REGEXP, co umożliwia wnioskowanie o nazwach użytkowników i ataki DoS przez katastroficzne cofanie się.
- CVE-2026-53673Wysokie
BuddyPress 14.4.0 zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu w interfejsie REST API wiadomości, umożliwiającą uwierzytelnionym atakującym dostęp do dowolnych prywatnych wątków wiadomości poprzez podanie parametru user_id w żądaniu. Atakujący mogą przekazać identyfikator innego użytkownika do metody get_item_permissions_check, która waliduje podane user_id zamiast zalogowanego użytkownika, i jest ponownie używana przez procedury aktualizacji i usuwania, co pozwala na czytanie, odpowiadanie lub usuwanie prywatnych wiadomości dowolnego użytkownika.
Oryginalny opis (angielski, źródło NVD)
The BuddyPress plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 14.3.3 via the bp_notifications_action_bulk_manage due to missing validation on a user controlled key. This makes it possible for authenticated attackers, with Subscriber-level access and above, to delete/mark as read/mark as unread notifications of other users.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS