PT-2026-48335

CVE-2026-53673

·

Publicado

2026-06-09

·

Atualizado

2026-10-08

Descrição por

CVSS 3.1
8.1
Alta
MétricasAV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N
Nome do Software Vulnerável e Versões Afetadas BuddyPress versão 14.4.0
Description Uma referência direta a objeto insegura existe na API REST de mensagens. Atacantes autenticados podem acessar threads de mensagens privadas arbitrárias fornecendo um parâmetro user id na requisição. A função get item permissions check() valida o user id fornecido em vez do usuário logado. Esta função é reutilizada pelos manipuladores de atualização e exclusão, permitindo que atacantes leiam, respondam ou excluam mensagens privadas de qualquer usuário.
Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.
Impactos
Fornecedores
Produtos afetados
Enumeração de fraquezas
CWE-639: Authorization Bypass Through User-Controlled Key
Identificadores relacionados
CVE-2026-53673
GHSA-J3J5-5M8V-7GVC
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
dbugs@ptsecurity.com