BuddyPress XProfile Image Field: видалення довільних файлів (CVE-2026-120518)
У плагіні BuddyPress XProfile Image Field для WordPress знайдено вразливість CVE-2026-120518 (CVSS 9.1). Функція активації користувача викликає unlink() за шляхом з даних реєстрації без перевірок. Неавторизований зловмисник може видаляти довільні файли на сервері.
Перевіряється в Shield: ні
Кого стосується
Усі версії плагіна до 3.1.0 включно. Умови: відкрита реєстрація та поле типу image у формі реєстрації.
Як перевірити в себе
Перевірте в панелі WordPress, чи встановлено плагін і яка його версія. Переконайтеся, чи ввімкнена відкрита реєстрація і чи є у формі реєстрації поле типу image.
Як виправити
Статус виправлення в джерелі не вказано. Експлуатація потребує відкритої реєстрації та image-поля, тому до виходу патча можна розглянути вимкнення плагіна, закриття реєстрації або видалення такого поля з форми.
Що перевіряє Shield не перевіряється
Перевіряється в Shield: ні. Ззовні це зазвичай не видно або перевірку ще не додано; ми збираємо такі випадки й додаємо перевірки пакетом.
Важливо знати
Інформація про виправлену версію та випадки експлуатації поки не розкрита; джерело — запис NVD.
