BuddyBoss App jusqu’à la version 3.2.1 incluse permet à des utilisateurs authentifiés ayant au moins le rôle Abonné de téléverser des fichiers par la fonction send_feedback, avec une validation insuffisante du type de fichier. Certains fichiers potentiellement exécutables peuvent être accessibles durant l’envoi de courriel, et peuvent persister si wp_mail() échoue, ouvrant la possibilité d’exécution de code à distance.
Source : NVD — CVE-2026-76124
Analyse technique
La validation repose sur l’en-tête Content-Type fourni par le client sans inspection du contenu côté serveur ni validation de l’extension. La suppression après envoi laisse une fenêtre liée à l’exécution SMTP; les fichiers peuvent rester si wp_mail() échoue.
Impact, versions et correctif
Action recommandée
Mettre à jour BuddyBoss App vers une version corrigée dès qu’elle est disponible et limiter les comptes disposant d’un accès authentifié.
Sources
Priorisation DFS : P3 · 1 source(s).