BuddyPress XProfile Image Field : suppression arbitraire de fichiers

Veille sécuritéCMS & e-commerce

P3Critique

BuddyPress XProfile Image Field, jusqu’à la version 3.1.0 incluse, peut supprimer un fichier arbitraire à partir de métadonnées de profil fournies lors de l’inscription. Un attaquant non authentifié peut exploiter le problème si les inscriptions sont ouvertes et qu’un champ de profil de type image est présent; la suppression de certains fichiers peut compromettre le site.

IdentifiantCVE-2026-120518

GravitéCritique

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-120518

Analyse technique

Lors de l’activation d’une inscription en attente, le plugin utilise unlink() sur un chemin issu de métadonnées de profil sans vérification suffisante de confinement au répertoire des images. Les conditions indiquées sont l’inscription ouverte et la présence d’un champ de profil image sur le formulaire d’inscription.

Impact, versions et correctif

Événement datéLa publication NVD est datée du 2026-11-03, dans la période demandée.

ImpactSuppression de fichiers arbitraires sur le serveur, avec risque de compromission du site selon le fichier supprimé.

Versions affectéesToutes les versions jusqu’à 3.1.0 incluse.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS9.1

EPSS0,78% · percentile 56,0%

Publication2026-11-03T07:18:31.380+02:00

Mise à jour2026-11-03T07:18:31.657+02:00

Action recommandée

Mettre à jour le plugin dès qu’un correctif est disponible; sinon, désactiver les inscriptions ouvertes ou le plugin si les conditions d’exposition sont réunies.

Sources

NVD — CVE-2026-120518

Priorisation DFS : P3 · 1 source(s).