CVE-2026-120518

Nome do Software Vulnerável e Versões Afetadas BuddyPress XProfile Image Field versões anteriores a 3.1.1

Descrição Atacantes não autenticados podem excluir arquivos arbitrários no servidor ao enviar um arquivo de zero bytes através do parâmetro field N hidden durante o processo de registro. Isso ocorre porque a função bpxp image field update on user activation() chama unlink() em um caminho construído a partir de metadados de inscrição fornecidos pelo visitante, sem resolução realpath(), sem verificação de contenção no diretório de imagens de perfil e sem uma lista de permissões de extensões. Este problema requer registro aberto e um campo de perfil do tipo imagem no formulário de inscrição. A exclusão de arquivos críticos, como wp-config.php, pode levar à execução remota de código.

Recomendações No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.