Résumé
généré automatiquement à partir des données NVDLe plugin BuddyPress XProfile Image Field pour WordPress, dans toutes ses versions jusqu'à la 3.1.0 incluse, permet la suppression de fichiers arbitraires : bpxp_image_field_update_on_user_activation() appelle unlink() sur un chemin construit à partir des métadonnées d'inscription, sans realpath(), contrôle de confinement ni liste d'extensions autorisées. Un attaquant non authentifié peut ainsi supprimer des fichiers du serveur (par exemple wp-config.php), ce qui peut mener à une exécution de code à distance, à condition que l'inscription soit ouverte et qu'un champ de profil de type image figure sur le formulaire. Sévérité critique, CVSS 3.1 de 9.1 (CWE-22).
Description NVD (anglais)
The BuddyPress XProfile Image Field plugin for WordPress is vulnerable to arbitrary file deletion in all versions up to, and including, 3.1.0. This is due to bpxp_image_field_update_on_user_activation() calling unlink() on a path built from visitor-supplied signup metadata with no realpath() resolution, no containment check against the profile-image directory and no extension allow-list. Submitting a zero-byte file with the 'field_N_hidden' parameter during registration makes the plugin store the raw value, which is then resolved against the document root when the pending signup is activated. This makes it possible for unauthenticated attackers to delete arbitrary files on the server, which can easily lead to remote code execution when the right file (such as wp-config.php) is deleted. Requires open registration and an image-type profile field on the signup form.
Articles d'analyse sur cveo.tech
Cette CVE est analysée dans un article : contexte, versions concernées et correctifs publiés.
Score CVSS v3.1
Informations
- Publié
- 3 nov. 2026
- Mis à jour
- 3 nov. 2026
- Statut
- Deferred
- Source
- security@wordfence.com
Faiblesses (CWE)
Références (7)
CVEs similaires
Autres vulnérabilités de type CWE-22
Sache quelles CVE touchent les versions que tu fais tourner.
Ajoute le produit et sa version : cveo.tech affiche tout de suite les CVE qui le concernent, puis t'alerte par email quand une nouvelle CVE le concerne — y compris avant que NVD ait fini son analyse. Gratuit, il suffit d'un compte.