BuddyPress Xprofile Custom Field Types <= 1.2.8 - Geauthenticeerde (Abonnee+) Willekeurige Bestandverwijdering

De impact van deze kwetsbaarheid is aanzienlijk. Een succesvolle exploitatie stelt een geauthenticeerde aanvaller (met minimaal Subscriber-niveau toegang) in staat om willekeurige bestanden op de server te verwijderen. Het meest kritieke scenario is het verwijderen van het wp-config.php bestand, wat direct leidt tot remote code execution. Dit geeft de aanvaller volledige controle over de WordPress installatie. De kwetsbaarheid is vergelijkbaar met eerdere bestandsverwijderings kwetsbaarheden in WordPress plugins, waarbij de configuratiebestanden als primaire doelwit worden beschouwd. De mogelijkheid om willekeurige bestanden te verwijderen, opent de deur naar een breed scala aan aanvallen, waaronder het compromitteren van de database en het installeren van malware.

WordPress websites utilizing the BuddyPress Xprofile Custom Field Types plugin in versions 1.0.0 through 1.2.8 are at risk. This includes sites with Subscriber-level user roles, as these users are sufficient to exploit the vulnerability. Shared hosting environments are particularly vulnerable, as they often have limited access controls and a higher density of WordPress installations.

• wordpress / composer / npm:

wp plugin list --status=inactive | grep 'BuddyPress Xprofile Custom Field Types'

• wordpress / composer / npm:

wp plugin list | grep 'BuddyPress Xprofile Custom Field Types' && wp plugin version 'BuddyPress Xprofile Custom Field Types'

• wordpress / composer / npm:

find /var/www/html/wp-content/plugins/buddybp-xprofile-custom-field-types/ -name 'delete_field.php'

• wordpress / composer / npm:

wp plugin list | grep 'BuddyPress Xprofile Custom Field Types' && wp plugin path 'BuddyPress Xprofile Custom Field Types'

1. 2026-01-06Disclosure

   disclosure

1. Gereserveerd2025-12-20
2. Gepubliceerd2026-01-06
3. Gewijzigd2026-04-08
4. EPSS bijgewerkt2026-03-23

De primaire mitigatie is het upgraden van de BuddyPress Xprofile Custom Field Types plugin naar versie 1.3.0 of hoger. Indien een directe upgrade niet mogelijk is, overweeg dan het tijdelijk beperken van de rechten van gebruikers tot Subscriber-niveau of het implementeren van een Web Application Firewall (WAF) die pogingen tot bestandsverwijdering blokkeert. Configureer uw WAF om verzoeken naar de delete_field functie te inspecteren en te blokkeren die verdachte bestandsnamen bevatten. Controleer de WordPress logbestanden op verdachte activiteiten, zoals ongebruikelijke bestandsverwijderingspogingen. Na de upgrade, controleer de serverlogbestanden op eventuele sporen van misbruik en bevestig dat de plugin correct werkt.

Actieve installaties

4KNiche

Plugin-beoordeling