CVE-2026-10035

Nome do Software Vulnerável e Versões Afetadas Turnkey bbPress by WeaverTheme versões anteriores a 1.7.2

Descrição O plugin é suscetível a PHP Object Injection, uma condição em que dados não confiáveis são passados para a função unserialize(), potencialmente permitindo que um invasor manipule a lógica da aplicação. O problema ocorre na função wvrbbp set to serialized values(), que é acessada através do manipulador de restauração de configurações wvrbbp save restore(). A função processa o conteúdo bruto de um arquivo enviado por um administrador sem a validação adequada. Atacantes autenticados com nível de acesso de administrador ou superior podem explorar isso para injetar um Objeto PHP. Embora não exista uma POP chain (uma sequência de gadgets usada para alcançar a execução de código) no próprio plugin, a presença de uma em outro plugin ou tema instalado poderia permitir a exclusão de arquivos arbitrários, a recuperação de dados sensíveis ou a execução remota de código.

Recomendações Atualize o plugin para uma versão posterior à 1.7.1. Como medida de mitigação temporária, restrinja o uso do manipulador de restauração de configurações wvrbbp save restore().