CVE-2026-53673

La versión 14.4.0 de BuddyPress tiene una falla de seguridad en su API REST para mensajes que puede ser explotada por usuarios autenticados. Esta vulnerabilidad permite a los atacantes acceder a conversaciones privadas de otros usuarios manipulando el parámetro user_id en las solicitudes. El problema surge porque el método get_item_permissions_check verifica el ID del usuario suministrado en lugar del usuario actualmente conectado, que luego se utiliza por los manejadores update y delete para manipular mensajes.

Basado en datos públicos de CVE (MITRE/NVD).