CVE-2026-76124

Nome do Software Vulnerável e Versões Afetadas BuddyBoss App plugin for WordPress versões anteriores a 3.2.2

Descrição Um problema de upload arbitrário de arquivos existe na função send feedback(). A falha decorre de uma validação insuficiente do tipo de arquivo, pois o sistema confia exclusivamente no cabeçalho Content-Type fornecido pelo cliente, sem realizar a inspeção de conteúdo no servidor ou a validação da extensão. Atacantes autenticados com nível de acesso de assinante ou superior podem fazer o upload de arquivos executáveis, permitindo potencialmente a execução remota de código. Embora os arquivos sejam normalmente excluídos após a transmissão do e-mail, existe uma condição de corrida durante a execução do SMTP que permite o acesso ao arquivo, e os arquivos persistem indefinidamente se a função wp mail() falhar.

Recomendações Atualize o BuddyBoss App plugin for WordPress para a versão 3.2.2 ou posterior. Como mitigação temporária, restrinja o acesso à função send feedback() para usuários com permissões de assinante.