BuddyPress XProfile Image Field: exclusão arbitrária de arquivos (CVE-2026-120518)
Uma vulnerabilidade, CVE-2026-120518 (CVSS 9.1), foi publicada no plugin BuddyPress XProfile Image Field do WordPress. A função de ativação de usuário chama unlink() em um caminho montado a partir dos dados de cadastro, sem validação. Invasores não autenticados podem excluir arquivos arbitrários no servidor.
Verificado no Shield: não
Quem é afetado
Todas as versões do plugin até a 3.1.0, inclusive. Condições: cadastro aberto e um campo de perfil do tipo imagem no formulário de cadastro.
Como verificar
No painel do WordPress, verifique se o plugin está instalado e qual é a versão. Confirme se o cadastro aberto está ativado e se o formulário de cadastro tem um campo do tipo imagem.
Como corrigir
A fonte não informa o status do patch. Como a exploração exige cadastro aberto e um campo de imagem, até que haja uma correção considere desativar o plugin, fechar o cadastro ou remover esse campo do formulário.
O que o Shield verifica não é verificado
Verificado no Shield: não. Isso geralmente não é visível por fora, ou a verificação ainda não foi adicionada; reunimos esses casos e adicionamos verificações em lotes.
Bom saber
A versão corrigida e qualquer exploração na prática ainda não foram divulgadas; fonte: entrada da NVD.
