CVE-2026-1360

El plugin BuddyPress para WordPress contiene una vulnerabilidad que afecta todas las versiones hasta la 14.5.0. El problema surge porque la función `bp_unserialize_profile_field()` utiliza `@unserialize()` sin especificar clases permitidas, lo que permite a los atacantes con acceso de nivel suscriptor o superior inyectar objetos PHP maliciosos en campos de texto de XProfile. Esto podría potencialmente habilitar la ejecución remota de código si se presenta una cadena de inyección de objeto adecuada en el entorno de WordPress.

Basado en datos públicos de CVE (MITRE/NVD).