BuddyPress 14.4.0 Private Message IDOR via REST API user_id Parameter

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (VulnCheck). Не зависят от анализа CPE в NVD и обычно опережают его.

• BuddyPress BuddyPress

  • до 14.4.0 включительнозатронута · semver

Затронутые пакеты

Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2021-21389BuddyPress privilege escalation via REST API
  39Наблюдать
• CVE-2024-10011BuddyPress <= 14.1.0 - Authenticated (Subscriber+) Directory Traversal
  32Наблюдать
• CVE-2020-5244Private data exposure via REST API in BuddyPress
  31Наблюдать
• CVE-2012-2109SQL injection vulnerability in wp-load.php in the BuddyPress plugin 1.5.x before 1.5.5 of WordPress allows remote attackers to execute arbit
  31Наблюдать
• CVE-2026-1360BuddyPress <= 14.5.0 - Authenticated (Subscriber+) PHP Object Injection via XProfile Field Data
  30Наблюдать
• CVE-2025-62022WordPress BuddyPress plugin <= 14.3.4 - Broken Access Control vulnerability
  30Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Эндпоинт получает запись по идентификатору из запроса, но не проверяет, принадлежит ли она запрашивающему пользователю.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1const invoice = await Invoice.findById(req.params.id);2res.json(invoice);

1const invoice = await Invoice.findOne({2  id: req.params.id,3  ownerId: req.user.id,4});5if (!invoice) return res.sendStatus(404);6res.json(invoice);

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.

У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.