BuddyPress Xprofile Custom Field Types: PHP Object Injection durch Subscriber
Zusammenfassung
Das WordPress-Plugin BuddyPress Xprofile Custom Field Types bis und mit Version 1.3.1 enthält eine PHP Object Injection Schwachstelle (CWE-502). Ein Angreifer mit einem Subscriber-Konto kann serialisierte Daten so manipulieren, dass der Server sie als PHP-Objekte verarbeitet, was Codeausführung, Datenzugriff oder Denial of Service ermöglichen kann. Für die Ausnutzung ist ein angemeldetes Konto mit niedrigen Rechten nötig, daher sind Websites mit offener Registrierung am stärksten gefährdet. Zum Zeitpunkt der Erstellung wurde kein Herstellerfix gefunden.
Betroffen
- BuddyDev BuddyPress Xprofile Custom Field Types, alle Versionen bis und mit 1.3.1
- Der Angriff erfordert ein Konto mit der Rolle Subscriber
Behoben in
Unbekannt. Es wurde keine korrigierte Version und keine Herstellermeldung gefunden.
Umgehung
- Keine Workaround-Massnahme des Herstellers gefunden.
- Plugin deaktivieren und entfernen, falls die zusätzlichen Feldtypen nicht benötigt werden.
- Falls benötigt, offene Benutzerregistrierung einschränken oder deaktivieren.
- Virtual Patching von Patchstack oder einem anderen Anbieter prüfen, falls verfügbar.
Ausnutzung
- CISA SSVC: Exploitation none, nicht automatisierbar.
- VulDB und OffSeq melden per 29. Okt. 2026 keinen bekannten öffentlichen Exploit und kein PoC.
- Patchstack stuft die Schwachstelle als hohe Priorität ein und erwartet eine Ausnutzung; dies ist nicht durch beobachtete Angriffe bestätigt.
- EPSS: 0.45 %.
Unsere Empfehlung
- Prüfen, ob das Plugin auf Ihren WordPress-Websites installiert ist.
- Falls nicht benötigt, Plugin deaktivieren und entfernen.
- Falls benötigt, offene Registrierung deaktivieren und Subscriber-Konten auf unerwartete Einträge prüfen.
- Virtual Patching anwenden, falls Sie ein Abonnement haben, und auf einen Herstellerfix warten.
- WordPress und PHP aktuell halten.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- Patchstack advisory patchstack.com
- VulDB entry vuldb.com
- OffSeq threat radar radar.offseq.com
- Strix CVE page www.strix.ai
- BuddyDev plugin page buddydev.com
- WordPress.org plugin page wordpress.org
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 09:11.
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.