CVE-2026-104995 Inclusión local de archivos en BP Profile Search vía cookie 'bps_directory'

Qué es CVE-2026-104995

El plugin BP Profile Search para WordPress es vulnerable a inclusión local de archivos en versiones hasta la 5.9 inclusive mediante el valor 'ajax_template' de la cookie 'bps_directory' en solicitudes AJAX de directorio de BuddyPress. El filtro bps_directory_ajax() lee la cookie, aplica solo una comparación de 'page' derivada del referer y pasa el valor del template con sufijo '.php' a bp_locate_template() sin restricción de basename, lista blanca ni control de recorrido de rutas. Atacantes no autenticados pueden…

Productos y versiones afectadas

• dontdream BP Profile Search

  • hasta 5.9

Qué hacer

1. Verificá si usás BP Profile Search y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 8.1 ALTA

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Alta

PRIVILEGIOS REQUERIDOS (PR)

Ninguno

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Alta

INTEGRIDAD (I)

Alta

DISPONIBILIDAD (A)

Alta

Abrir la calculadora completa →

Descripción original

The BP Profile Search plugin for WordPress is vulnerable to Local File Inclusion in versions up to, and including, 5.9 via the 'ajax_template' value parsed from the client-controlled 'bps_directory' cookie during BuddyPress AJAX directory requests. The bps_directory_ajax() filter (hooked onto bp_legacy_object_template_path and bp_nouveau_object_template_path) reads the cookie, applies only a referer-derived 'page' comparison in bps_get_directory_data() (where bps_current_page() uses HTTP_REFERER during AJAX and is therefore also attacker-controlled), and then suffixes the attacker-controlled template value with '.php' and passes it to bp_locate_template() with no basename restriction, no whitelist, and no path-traversal check. This makes it possible for unauthenticated attackers to include arbitrary PHP files on the server, which can lead to remote code execution when PHP files can be uploaded or when images such as the default wordpress:php8.

Referencias

• www.wordfence.com/threat-intel/vulnerabilities/id/a35419ff-a342-4480-9288-e98dee5afabc?so…
• plugins.trac.wordpress.org/browser/bp-profile-search/tags/5.9/bps-directory.php#L408
• plugins.trac.wordpress.org/browser/bp-profile-search/tags/5.9/bps-directory.php#L186
• plugins.trac.wordpress.org/browser/bp-profile-search/tags/5.9/bps-search.php#L6
• plugins.trac.wordpress.org/changeset/3737650
• plugins.trac.wordpress.org/browser/bp-profile-search/tags/6.0/bps-directory.php

Historial de la alerta

1. 14 OCT · 01:18VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.