BuddyPress XProfile Image Field: удаление произвольных файлов (CVE-2026-120518)
В плагине BuddyPress XProfile Image Field для WordPress найдена уязвимость CVE-2026-120518 (CVSS 9.1). Функция активации пользователя вызывает unlink() по пути из данных регистрации без проверок. Неавторизованный атакующий может удалять произвольные файлы на сервере.
Проверяется в Shield: нет
Кого касается
Все версии плагина до 3.1.0 включительно. Условия: открытая регистрация и поле типа image в форме регистрации.
Как проверить у себя
Проверьте в панели WordPress, установлен ли плагин и какая у него версия. Убедитесь, включена ли открытая регистрация и есть ли в форме регистрации поле типа image.
Как исправить
Статус исправления в источнике не указан. Эксплуатация требует открытой регистрации и image-поля, поэтому до выхода патча можно рассмотреть отключение плагина, закрытие регистрации или удаление такого поля из формы.
Что проверяет Shield не проверяется
Проверяется в Shield: нет. Снаружи это обычно не видно или проверка ещё не добавлена; мы собираем такие случаи и добавляем проверки пакетом.
Важно знать
Информация об исправленной версии и о случаях эксплуатации пока не раскрыта; источник — запись NVD.
