CVE-2026-53673
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 30 - wyżej niż 30% wszystkich znanych CVE
Streszczenie
BuddyPress 14.4.0 zawiera podatność niebezpiecznego bezpośredniego odwołania do obiektu w interfejsie REST API wiadomości, umożliwiającą uwierzytelnionym atakującym dostęp do dowolnych prywatnych wątków wiadomości poprzez podanie parametru user_id w żądaniu. Atakujący mogą przekazać identyfikator innego użytkownika do metody get_item_permissions_check, która waliduje podane user_id zamiast zalogowanego użytkownika, i jest ponownie używana przez procedury aktualizacji i usuwania, co pozwala na czytanie, odpowiadanie lub usuwanie prywatnych wiadomości dowolnego użytkownika.
Ocena ryzyka
Ryzyko obejmuje naruszenie prywatności użytkowników poprzez nieautoryzowany dostęp do prywatnych wiadomości, co może prowadzić do wycieku poufnych informacji.
Rekomendacja
Zaleca się natychmiastową aktualizację BuddyPress do wersji, w której poprawiono walidację user_id w REST API wiadomości.
Inne podatności w BuddyPress
Zobacz wszystkie- CVE-2026-8155Średnie
Wtyczka BuddyPress dla WordPressa przed wersją 14.5.0 nie egzekwuje prawidłowo autoryzacji na swoich endpointach prywatnych wiadomości, umożliwiając każdemu uwierzytelnionemu użytkownikowi (Subscriber+) odczyt, modyfikację lub usunięcie prywatnych wiadomości innych użytkowników.
- CVE-2026-1360Wysokie
Wtyczka BuddyPress dla WordPressa jest podatna na deserializację niezaufanych danych w wersjach do 14.5.0 włącznie. Funkcja bp_unserialize_profile_field() używa @unserialize() bez parametru allowed_classes na danych pól XProfile kontrolowanych przez użytkownika.
- CVE-2026-53675Średnie
BuddyPress 14.4.0 zawiera podatność IDOR w REST API znajomych, która pozwala uwierzytelnionemu atakującemu na wyliczenie pełnej listy znajomych dowolnego użytkownika. Metoda get_items_permissions_check sprawdza tylko czy żądający jest zalogowany, nie weryfikując uprawnień do żądanej listy.
- CVE-2026-53674Wysokie
BuddyPress 14.4.0 zawiera podatność na wstrzykiwanie wyrażeń regularnych w resolverze wzmianek o aktywności. Gdy włączony jest tryb zgodności nazw użytkowników, atakujący mogą manipulować klauzulą REGEXP w bazie danych, tworząc nazwy wzmianek zawierające metaznaki regex. Metaznaki w @wzmiankach przechodzą przez esc_sql bez zmiany i są wstawiane do nieprzygotowanego zapytania REGEXP, co umożliwia wnioskowanie o nazwach użytkowników i ataki DoS przez katastroficzne cofanie się.
Oryginalny opis (angielski, źródło NVD)
BuddyPress 14.4.0 contains an insecure direct object reference vulnerability in the messages REST API that allows authenticated attackers to access arbitrary private message threads by supplying a user_id parameter in the request. Attackers can pass another user's identifier to the get_item_permissions_check method, which validates the supplied user_id instead of the logged-in user and is reused by the update and delete handlers, to read, reply to, or delete any user's private messages.