CVE-2026-120518

Kritik

Teknik Veri (Otomatik)

CVSS Skoru: 9.1
EPSS: —
CWE: CWE-22
KEV Durumu: Hayır

Yayım tarihi: 3 Kasım 2026

WordPress için BuddyPress XProfile Image Field eklentisi, 3.1.0 sürümüne kadar olan tüm sürümlerde keyfi dosya silme açısından zayıftır. Bu, bpxp_image_field_update_on_user_activation() işlevinin ziyaretçi tarafından sağlanan kayıt meta verilerini kullanarak oluşturulan bir yola unlink() çağrısı yapmasından kaynaklanmaktadır ve burada realpath() çözümü, profile-image dizinine karşı kapsama kontrolü veya uzantı izin listesi bulunmamaktadır. Kayıt sırasında 'field_N_hidden' parametresi ile sıfır bayt bir dosya göndermek, eklentinin ham değeri depolamasına neden olur ve ardından pending kayıt etkinleştirildiğinde bu değer belge köküne karşı çözülür. Bu, kimlik doğrulamış saldırganların sunucudaki keyfi dosyaları silebilmesine olanak tanır ve doğru dosyanın (örneğin wp-config.php) silinmesi durumunda uzaktan kod yürütülmesine kolayca yol açabilir. Açık kayıt ve kayıt formunda resim türü profil alanının bulunmasını gerektirir.

Orijinal açıklama (İngilizce)

The BuddyPress XProfile Image Field plugin for WordPress is vulnerable to arbitrary file deletion in all versions up to, and including, 3.1.0. This is due to bpxp_image_field_update_on_user_activation() calling unlink() on a path built from visitor-supplied signup metadata with no realpath() resolution, no containment check against the profile-image directory and no extension allow-list. Submitting a zero-byte file with the 'field_N_hidden' parameter during registration makes the plugin store the raw value, which is then resolved against the document root when the pending signup is activated. This makes it possible for unauthenticated attackers to delete arbitrary files on the server, which can easily lead to remote code execution when the right file (such as wp-config.php) is deleted. Requires open registration and an image-type profile field on the signup form.

Referanslar

NVD kaydı ↗CVE.org ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.