BuddyBoss Platform: inyección de objetos PHP con rol Suscriptor (CVE-2026-56032)
NVD ha publicado CVE-2026-56032, una vulnerabilidad de inyección de objetos PHP en el plugin BuddyBoss Platform para WordPress. La puntuación CVSS es 9.8. Se puede explotar con privilegios de Suscriptor, es decir, con una cuenta de usuario de pocos privilegios.
Revisado en Shield: sí
Quién está afectado
Sitios WordPress con el plugin BuddyBoss Platform instalado. El rango de versiones afectadas aún no se ha divulgado.
Cómo comprobar
En el administrador de WordPress, abre Plugins y anota la versión de BuddyBoss Platform. Compárala con la entrada de NVD y los avisos del proveedor. Revisa también si el registro público está abierto y qué cuentas tienen el rol de Suscriptor.
Cómo corregirlo
Aún no se ha divulgado una versión corregida. Sigue los anuncios del proveedor e instala la actualización en cuanto se publique. Elimina las cuentas de Suscriptor que no necesites.
Qué comprueba Shield gratis, más a fondo en el análisis de pago
Sí, Shield lo comprueba desde fuera: la versión del plugin se lee de las URL de archivos en el código de la página (gratis) o de readme.txt (análisis de pago) y se compara con la base de datos de vulnerabilidades. Si la versión es anterior a la corregida, el informe muestra un hallazgo que enlaza a esta nota; si la versión no es visible, Shield te indica que la revises.
Conviene saber
Las versiones afectadas y corregidas y el estado de explotación no se han divulgado en la fuente (NVD).
