CVE-2026-96554
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka BuddyBoss Platform dla WordPressa (do wersji 3.6.0) jest podatna na przechowywany cross-site scripting poprzez nazwę grupy z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Uwierzytelniony atakujący z dostępem na poziomie subskrybenta może wstrzyknąć dowolne skrypty internetowe do stron, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Wymaga to włączonego ustawienia "Enable social group creation by all members", które jest domyślne.
Ocena ryzyka
Atakujący z kontem subskrybenta może wykonać dowolny kod JavaScript w przeglądarce innych użytkowników, w tym administratorów, co może prowadzić do przejęcia konta. Domyślne ustawienie zezwalające na tworzenie grup przez wszystkich zwiększa ryzyko.
Rekomendacja
Zaktualizuj wtyczkę BuddyBoss Platform do wersji nowszej niż 3.6.0. Rozważ ograniczenie tworzenia grup do administratorów, jeśli nie jest to konieczne dla wszystkich członków.
Inne podatności w BuddyBoss Platform
Zobacz wszystkie- CVE-2026-59514Krytyczne
Platforma Buddyboss w wersjach do 3.0.5 zawiera podatność na wstrzykiwanie SQL bez uwierzytelniania. Atakujący może zdalnie wykonać dowolne zapytania SQL.
- CVE-2026-56032Krytyczne
Podatność wtyczki Buddyboss Platform w wersjach do 3.0.4 umożliwia użytkownikom z rolą subskrybenta wstrzyknięcie obiektów PHP. Atakujący może wykorzystać tę lukę do zdalnego wykonania kodu na serwerze.
- CVE-2026-118082Wysokie
Wtyczka Buddyboss Platform w wersjach do 3.5.0 zawiera podatność na eskalację uprawnień dla użytkowników z rolą Subscriber.
- CVE-2026-39771Wysokie
Wtyczka Buddyboss Platform w wersjach <= 3.1.0 zawiera podatność SQL Injection, którą może wykorzystać użytkownik z rolą subskrybenta.
Oryginalny opis (angielski, źródło NVD)
The BuddyBoss Platform plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Group Name in all versions up to, and including, 3.6.0 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with subscriber-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This requires the "Enable social group creation by all members" setting to be enabled, which is the default and permits Subscriber-level users to create groups; exploitation is not possible if group creation is restricted to administrators.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS