BuddyPress XProfile Image Field: eliminación arbitraria de archivos (CVE-2026-120518)
Se publicó una vulnerabilidad, CVE-2026-120518 (CVSS 9.1), en el plugin BuddyPress XProfile Image Field de WordPress. La función de activación de usuarios llama a unlink() sobre una ruta construida con datos de registro sin validarlos. Los atacantes sin autenticar pueden eliminar archivos arbitrarios del servidor.
Revisado en Shield: no
Quién está afectado
Todas las versiones del plugin hasta la 3.1.0 incluida. Condiciones: registro abierto y un campo de perfil de tipo imagen en el formulario de registro.
Cómo comprobar
En el panel de WordPress, comprueba si el plugin está instalado y qué versión tiene. Confirma si el registro abierto está activado y si el formulario de registro tiene un campo de tipo imagen.
Cómo corregirlo
La fuente no indica el estado del parche. Como la explotación requiere registro abierto y un campo de imagen, mientras no haya corrección considera desactivar el plugin, cerrar el registro o quitar ese campo del formulario.
Qué comprueba Shield no se comprueba
Comprobado en Shield: no. Normalmente esto no se ve desde el exterior, o la comprobación aún no se ha añadido; reunimos estos casos y añadimos comprobaciones por lotes.
Conviene saber
Aún no se divulgan la versión corregida ni si se explota activamente; fuente: entrada de NVD.
