Недавно обнаруженная уязвимость безопасности затрагивает плагин BuddyPress, плагин WordPress, установленный на более чем 100 000 веб-сайтах. Уязвимости присвоен уровень угрозы 7.3 (высокий) и позволяет неаутентифицированным злоумышленникам выполнять произвольные короткие коды.

Плагин BuddyPress для WordPress

Плагин BuddyPress позволяет сайтам WordPress создавать функции сообщества, такие как профили пользователей, потоки активности, личные сообщения и группы. Он обычно используется на членских сайтах и ​​в интернет-сообществах и установлен на более чем 100 000 веб-сайтов WordPress.

BuddyPress имеет хороший послужной список в области уязвимостей. За весь 2025 год была зарегистрирована только одна уязвимость, которая представляла собой относительно слабую уязвимость средней степени угрозы с уровнем угрозы 5,3 по шкале от 1 до 10.

Несанкционированное выполнение произвольного короткого кода

Уязвимость может быть использована злоумышленниками, не прошедшими проверку подлинности. Злоумышленнику не нужна учетная запись WordPress или какой-либо уровень доступа пользователя, чтобы вызвать проблему.

Плагин BuddyPress во всех версиях до 14.3.3 включительно уязвим для произвольного выполнения шорткода. Это означает, что злоумышленник может выполнить короткие коды на веб-сайте. Шорткоды используются WordPress для добавления динамической функциональности страницам и сообщениям. Поскольку плагин не проверяет должным образом вводимые данные перед выполнением шорткодов, злоумышленники могут заставить сайт выполнить шорткоды, на использование которых им не разрешено.

Уязвимость вызвана отсутствием проверки перед передачей введенных пользователем данных в функцию do_shortcode.

Wordfence описал проблема:

«Плагин BuddyPress для WordPress уязвим к выполнению произвольного короткого кода во всех версиях до 14.3.3 включительно. Это связано с тем, что программное обеспечение позволяет пользователям выполнять действие, которое не проверяет должным образом значение перед выполнением do_shortcode. Это позволяет неаутентифицированным злоумышленникам выполнять произвольные короткие коды».

Это означает, что злоумышленники могут активировать короткий код, который, в свою очередь, выполняет действие, для которого он предназначен, что в худшем случае может привести к раскрытию ограниченных функций или функциональности веб-сайта. В зависимости от коротких кодов, доступных на веб-сайте, это может позволить злоумышленникам получить доступ к конфиденциальной информации, изменить содержимое веб-сайта или непредвиденным образом взаимодействовать с другими плагинами.

Уязвимость не зависит от каких-либо специальных настроек сервера или дополнительных конфигураций. Это касается любого веб-сайта, на котором установлена ​​уязвимая версия плагина.

Проблема решена в BuddyPress версии 14.3.4. Пользователям плагина следует обновить его до версии 14.3.4 или новее, чтобы устранить уязвимость.

Рекомендованное изображение с Shutterstock/Войти