BuddyPress <= 14.3.3 - 未认证的任意短代码执行 (Unauthenticated Arbitrary Shortcode Execution)

攻击者可以利用此漏洞在 WordPress 站点上执行任意短代码，从而可能导致严重的安全后果。攻击者可以利用此漏洞执行恶意代码，窃取敏感数据，例如用户凭据和个人信息。此外，攻击者还可以利用此漏洞完全控制受影响的 WordPress 站点，并将其用于恶意目的，例如传播恶意软件或发起 DDoS 攻击。由于 BuddyPress 广泛使用，此漏洞的影响范围可能非常广泛，可能影响数千个 WordPress 站点。

WordPress websites utilizing the BuddyPress plugin, particularly those running versions prior to 14.3.4, are at risk. Shared hosting environments are especially vulnerable, as a compromised BuddyPress installation on one site could potentially impact others on the same server. Sites with custom shortcode implementations or plugins that interact with BuddyPress are also at increased risk.

• wordpress / composer / npm:

grep -r 'do_shortcode' /var/www/html/wp-content/plugins/buddypress/

• wordpress / composer / npm:

wp plugin list --status=active | grep buddypress

• wordpress / composer / npm:

wp plugin update buddypress --all

• generic web: Check for unusual shortcode usage in website content, particularly in areas accessible to unauthenticated users.

1. 2026-01-22Disclosure

   disclosure

1. 已保留2024-11-28
2. 发布日期2026-01-22
3. 修改日期2026-01-23
4. EPSS 更新日期2026-03-23

最有效的缓解措施是立即将 BuddyPress 插件升级到 14.3.4 或更高版本。如果无法立即升级，可以考虑回滚到之前的稳定版本，但请注意这可能引入其他已知漏洞。此外，可以实施一些临时缓解措施，例如限制用户可以执行的短代码类型，或使用 Web 应用防火墙 (WAF) 来阻止恶意短代码的执行。建议定期审查 WordPress 插件，并确保它们保持最新状态。