CVE-2026-53673

Nome do Software Vulnerável e Versões Afetadas BuddyPress versão 14.4.0

Description Uma referência direta a objeto insegura existe na API REST de mensagens. Atacantes autenticados podem acessar threads de mensagens privadas arbitrárias fornecendo um parâmetro user id na requisição. A função get item permissions check() valida o user id fornecido em vez do usuário logado. Esta função é reutilizada pelos manipuladores de atualização e exclusão, permitindo que atacantes leiam, respondam ou excluam mensagens privadas de qualquer usuário.

Recommendations No momento, não há informações sobre uma versão mais recente que contenha a correção para esta vulnerabilidade.