CVE-2025-3793

Nome do Software Vulnerável e Versões Afetadas Plugin Buddypress Force Password Change para WordPress, versões até a 0.1, inclusive

Descrição O problema permite a assunção de conta por atacantes autenticados devido à validação inadequada da identidade do usuário antes da atualização de sua senha através da função bp force password ajax. Isso possibilita que atacantes autenticados com acesso de nível de assinante ou superior, sob certos pré-requisitos, alterem as senhas de quaisquer usuários, incluindo administradores, e obtenham acesso às suas contas.

Recomendações Para versões até a 0.1, inclusive, como medida temporária, considere desabilitar a função bp force password ajax até que um patch esteja disponível. Restrinja o acesso à funcionalidade de atualização de senha para minimizar o risco de exploração. Evite utilizar o plugin afetado até que o problema seja resolvido. No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.