Vulnerabilidade do BuddyPress WordPress pode impactar até 100.000 sites
Uma vulnerabilidade de segurança recentemente divulgada afeta o plugin BuddyPress, um plugin WordPress instalado em mais de 100.000 sites. A vulnerabilidade, com uma classificação de nível de ameaça de 7,3 (alto), permite que invasores não autenticados executem códigos de acesso arbitrários.
Plug-in BuddyPress para WordPress
O plugin BuddyPress permite que sites WordPress criem recursos de comunidade, como perfis de usuário, fluxos de atividades, mensagens privadas e grupos. É comumente usado em sites de membros e comunidades online e está instalado em mais de 100.000 sites WordPress.
O BuddyPress tem um bom histórico em relação a vulnerabilidades. Houve apenas uma vulnerabilidade relatada para todo o ano de 2025, que era uma vulnerabilidade de ameaça média relativamente leve, classificada em um nível de ameaça 5,3 em uma escala de 1 a 10.
Execução arbitrária de shortcode não autenticada
A vulnerabilidade pode ser explorada por invasores não autenticados. Um invasor não precisa de uma conta WordPress ou de qualquer nível de acesso de usuário para desencadear o problema.
O plugin BuddyPress é vulnerável à execução arbitrária de shortcode em todas as versões até 14.3.3 inclusive. Isso significa que um invasor pode executar códigos de acesso no site. Os códigos de acesso são usados pelo WordPress para adicionar funcionalidade dinâmica a páginas e postagens. Como o plug-in não valida adequadamente a entrada antes de executar códigos de acesso, os invasores podem fazer com que o site execute códigos de acesso que não estão autorizados a usar.
A vulnerabilidade é causada pela falta de validação antes que a entrada fornecida pelo usuário seja passada para a função do_shortcode.
Wordfence descreveu o problema:
“O plug-in BuddyPress para WordPress é vulnerável à execução arbitrária de códigos de acesso em todas as versões até 14.3.3, inclusive. Isso se deve ao software que permite aos usuários executar uma ação que não valida adequadamente um valor antes de executar do_shortcode. Isso possibilita que invasores não autenticados executem códigos de acesso arbitrários.”
Isso significa que os invasores podem acionar um shortcode que, por sua vez, executará qualquer ação que deveria ser executada, o que, na pior das hipóteses, poderia expor recursos ou funcionalidades restritas do site. Dependendo dos códigos de acesso disponíveis em um site, isso pode permitir que invasores acessem informações confidenciais, modifiquem o conteúdo do site ou interajam com outros plug-ins de maneiras não intencionais.
A vulnerabilidade não depende de configurações especiais do servidor ou de configurações opcionais. Qualquer site que execute uma versão vulnerável do plugin será afetado.
O problema foi corrigido no BuddyPress versão 14.3.4. Os usuários do plugin devem atualizar para a versão 14.3.4 ou mais recente para corrigir a vulnerabilidade.
Imagem em destaque por Shutterstock/Login
