CVE-2026-56032
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 47 - wyżej niż 47% wszystkich znanych CVE
Streszczenie
Podatność wtyczki Buddyboss Platform w wersjach do 3.0.4 umożliwia użytkownikom z rolą subskrybenta wstrzyknięcie obiektów PHP. Atakujący może wykorzystać tę lukę do zdalnego wykonania kodu na serwerze.
Ocena ryzyka
Ryzyko obejmuje przejęcie kontroli nad serwerem, kradzież danych lub modyfikację treści witryny przez uwierzytelnionego użytkownika o niskich uprawnieniach.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Buddyboss Platform do wersji 3.0.5 lub nowszej, która usuwa tę podatność.
Inne podatności w Buddyboss Platform <= 3.0.4
Zobacz wszystkie- CVE-2026-59514Krytyczne
Platforma Buddyboss w wersjach do 3.0.5 zawiera podatność na wstrzykiwanie SQL bez uwierzytelniania. Atakujący może zdalnie wykonać dowolne zapytania SQL.
- CVE-2026-96554Średnie
Wtyczka BuddyBoss Platform dla WordPressa (do wersji 3.6.0) jest podatna na przechowywany cross-site scripting poprzez nazwę grupy z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Uwierzytelniony atakujący z dostępem na poziomie subskrybenta może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymaga to włączonego ustawienia "Enable social group creation by all members", które jest domyślne.
- CVE-2026-118082Wysokie
Wtyczka Buddyboss Platform w wersjach do 3.5.0 zawiera podatność na eskalację uprawnień dla użytkowników z rolą Subscriber.
- CVE-2026-39771Wysokie
Wtyczka Buddyboss Platform w wersjach <= 3.1.0 zawiera podatność SQL Injection, którą może wykorzystać użytkownik z rolą subskrybenta.
Oryginalny opis (angielski, źródło NVD)
Subscriber PHP Object Injection in Buddyboss Platform <= 3.0.4 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS