CVE-2026-53673
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 42 - wyżej niż 42% wszystkich znanych CVE
Streszczenie
BuddyPress 14.4.0 zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu w interfejsie REST API wiadomości, umożliwiającą uwierzytelnionym atakującym dostęp do dowolnych prywatnych wątków wiadomości poprzez podanie parametru user_id w żądaniu. Atakujący mogą przekazać identyfikator innego użytkownika do metody get_item_permissions_check, która waliduje podane user_id zamiast zalogowanego użytkownika, i jest ponownie używana przez procedury aktualizacji i usuwania, co pozwala na czytanie, odpowiadanie lub usuwanie prywatnych wiadomości dowolnego użytkownika.
Ocena ryzyka
Ryzyko obejmuje naruszenie prywatności użytkowników poprzez nieautoryzowany dostęp do prywatnych wiadomości, co może prowadzić do wycieku poufnych informacji.
Rekomendacja
Zaleca się natychmiastową aktualizację BuddyPress do wersji, w której poprawiono walidację user_id w REST API wiadomości.
Inne podatności w BuddyPress
Zobacz wszystkie- CVE-2024-12145Średnie
Wtyczka BuddyPress dla WordPressa jest podatna na Insecure Direct Object Reference we wszystkich wersjach do 14.3.3 włącznie, poprzez funkcję bp_notifications_action_bulk_manage, z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to uwierzytelnionym atakującym z uprawnieniami na poziomie Subscriber i wyższym usuwanie, oznaczanie jako przeczytane lub nieprzeczytane powiadomień innych użytkowników.
- CVE-2026-8155Średnie
Wtyczka BuddyPress dla WordPressa przed wersją 14.5.0 nie egzekwuje prawidłowo autoryzacji na swoich endpointach prywatnych wiadomości, umożliwiając każdemu uwierzytelnionemu użytkownikowi (Subscriber+) odczyt, modyfikację lub usunięcie prywatnych wiadomości innych użytkowników.
- CVE-2026-1360Wysokie
Wtyczka BuddyPress dla WordPressa jest podatna na deserializację niezaufanych danych w wersjach do 14.5.0 włącznie. Funkcja bp_unserialize_profile_field() używa @unserialize() bez parametru allowed_classes na danych pól XProfile kontrolowanych przez użytkownika.
- CVE-2026-53675Średnie
BuddyPress 14.4.0 zawiera podatność IDOR w REST API znajomych, która pozwala uwierzytelnionemu atakującemu na wyliczenie pełnej listy znajomych dowolnego użytkownika. Metoda get_items_permissions_check sprawdza tylko czy żądający jest zalogowany, nie weryfikując uprawnień do żądanej listy.
- CVE-2026-53674Wysokie
BuddyPress 14.4.0 zawiera podatność na wstrzykiwanie wyrażeń regularnych w resolverze wzmianek o aktywności. Gdy włączony jest tryb zgodności nazw użytkowników, atakujący mogą manipulować klauzulą REGEXP w bazie danych, tworząc nazwy wzmianek zawierające metaznaki regex. Metaznaki w @wzmiankach przechodzą przez esc_sql bez zmiany i są wstawiane do nieprzygotowanego zapytania REGEXP, co umożliwia wnioskowanie o nazwach użytkowników i ataki DoS przez katastroficzne cofanie się.
- CVE-2020-37233Średnie
Wtyczka BuddyPress 6.2.0 dla WordPressa zawiera podatność na trwały atak XSS, która pozwala uwierzytelnionym atakującym z uprawnieniami moderatora na wstrzyknięcie złośliwego kodu przez parametr figure w blokach wp:html. Atakujący mogą wstrzyknąć elementy iframe z obsługą zdarzeń, które wykonują się podczas podglądu lub przeglądania strony przez administratorów.
Oryginalny opis (angielski, źródło NVD)
BuddyPress 14.4.0 contains an insecure direct object reference vulnerability in the messages REST API that allows authenticated attackers to access arbitrary private message threads by supplying a user_id parameter in the request. Attackers can pass another user's identifier to the get_item_permissions_check method, which validates the supplied user_id instead of the logged-in user and is reused by the update and delete handlers, to read, reply to, or delete any user's private messages.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS