BuddyBoss Platform: injeção de objetos PHP por usuário com papel de Assinante (CVE-2026-56032)
A NVD publicou a CVE-2026-56032, uma vulnerabilidade de injeção de objetos PHP no plugin BuddyBoss Platform para WordPress. A pontuação CVSS é 9.8. Ela pode ser explorada com privilégios de Subscriber, ou seja, uma conta de usuário com poucas permissões.
Verificado no Shield: sim
Quem é afetado
Sites WordPress com o plugin BuddyBoss Platform instalado. A faixa de versões afetadas ainda não foi divulgada.
Como verificar
No painel do WordPress, abra Plugins e anote a versão do BuddyBoss Platform. Compare com o registro da NVD e os avisos do fornecedor. Verifique também se o cadastro público está aberto e quais contas têm a função Subscriber.
Como corrigir
Nenhuma versão corrigida foi divulgada ainda. Acompanhe os comunicados do fornecedor e instale a atualização assim que ela for lançada. Remova as contas Subscriber desnecessárias.
O que o Shield verifica grátis, mais a fundo na verificação paga
Sim, o Shield verifica isso por fora: a versão do plugin é lida a partir das URLs de arquivos no código da página (grátis) ou do readme.txt (verificação paga) e comparada com o banco de vulnerabilidades. Se a versão for anterior à corrigida, o relatório mostra um achado com link para esta nota; se a versão não estiver visível, o Shield pede que você verifique.
Bom saber
As versões afetadas e corrigidas e o status de exploração não foram divulgados na fonte (NVD).
