BuddyPress XProfile Image Field: usuwanie dowolnych plików (CVE-2026-120518)
W wtyczce BuddyPress XProfile Image Field dla WordPressa opublikowano podatność CVE-2026-120518 (CVSS 9.1). Funkcja aktywacji użytkownika wywołuje unlink() na ścieżce zbudowanej z danych rejestracji bez walidacji. Nieuwierzytelniony atakujący może usuwać dowolne pliki na serwerze.
Sprawdzane w Shield: nie
Kogo dotyczy
Wszystkie wersje wtyczki do 3.1.0 włącznie. Warunki: otwarta rejestracja i pole profilu typu image w formularzu rejestracji.
Jak sprawdzić u siebie
W panelu WordPressa sprawdź, czy wtyczka jest zainstalowana i w jakiej wersji. Upewnij się, czy otwarta rejestracja jest włączona i czy formularz zawiera pole typu image.
Jak naprawić
Źródło nie podaje statusu poprawki. Ponieważ wykorzystanie wymaga otwartej rejestracji i pola image, do czasu poprawki można rozważyć wyłączenie wtyczki, zamknięcie rejestracji lub usunięcie tego pola z formularza.
Co sprawdza Shield nie jest sprawdzane
Sprawdzane w Shield: nie. Z zewnątrz zwykle tego nie widać albo kontroli jeszcze nie dodano; zbieramy takie przypadki i dodajemy kontrole partiami.
Warto wiedzieć
Wersja z poprawką i ewentualne wykorzystanie podatności nie zostały jeszcze ujawnione; źródło: wpis NVD.
