BP Profile Search: Unauthentifizierte Local File Inclusion über bps_directory-Cookie
Zusammenfassung
Das WordPress-Plugin BP Profile Search für BuddyPress-Mitgliederverzeichnisse ist bis und mit Version 5.9 betroffen. Ein unauthentifizierter Angreifer kann das vom Client kontrollierte bps_directory-Cookie manipulieren, sodass das Plugin beliebige PHP-Dateien des Servers einbindet. Je nach Serverkonfiguration, beispielsweise wenn PHP-Dateien hochgeladen werden können, kann dies zur Remote Code Execution führen.
Betroffen
- BP Profile Search bis und mit Version 5.9
- Angaben des CNA und Vendor: betroffen 0 bis <= 5.9
Behoben in
Unbekannt. In den CVE-Quellen wird eine Version 6.0 erwähnt, eine öffentliche Veröffentlichung konnte jedoch nicht bestätigt werden. Gehen Sie nicht davon aus, dass 6.0 sicher ist, bevor Sie es auf WordPress.org überprüft haben.
Umgehung
- Kein vom Hersteller veröffentlichter Workaround gefunden.
- Plugin auf Websites deaktivieren, auf denen das Mitgliederverzeichnis nicht zwingend benötigt wird.
Ausnutzung
- CVSS 8.1 (v3.1), Angriffsvektor Netzwerk, keine Berechtigungen und keine Benutzerinteraktion erforderlich, hohe Angriffskomplexität.
- Zum Zeitpunkt der Recherche wurde kein öffentlicher Exploit-Code bestätigt.
- Laut den Recherchenotizen nicht im Katalog der CISA KEV aufgeführt; bitte direkt überprüfen.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Alle WordPress-Websites mit BP Profile Search inventarisieren und die Version erfassen.
- Plugin auf Websites deaktivieren, auf denen es nicht zwingend benötigt wird.
- Wo es benötigt wird, die korrigierte Version einspielen, sobald sie auf WordPress.org bestätigt ist, oder den Hersteller direkt kontaktieren.
- WAF- oder Host-Regeln auf verdächtige Anfragen prüfen und den CISA-KEV-Katalog sowie die Wordfence-Meldungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Wordfence threat intelligence entry www.wordfence.com
- NVD record mirror (Vulners) vulners.com
- Plugin changeset r3737650 plugins.trac.wordpress.org
- Trac: bps-directory.php tag 6.0 plugins.trac.wordpress.org
- WordPress.org plugin page wordpress.org
- VulDB entry vuldb.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 19:12.
Referenzen der NVD (6)
- https://plugins.trac.wordpress.org/browser/bp-profile-search/tags/5.9/bps-directory.php#L186
- https://plugins.trac.wordpress.org/browser/bp-profile-search/tags/5.9/bps-directory.php#L408
- https://plugins.trac.wordpress.org/browser/bp-profile-search/tags/5.9/bps-search.php#L6
- https://plugins.trac.wordpress.org/browser/bp-profile-search/tags/6.0/bps-directory.php
- https://plugins.trac.wordpress.org/changeset/3737650
- https://www.wordfence.com/threat-intel/vulnerabilities/id/a35419ff-a342-4480-9288-e98dee5afabc?source=cve
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.