CVE-2026-53673
BuddyPress 14.4.0 contiene una vulnerabilidad de referencia directa insegura en la API REST de mensajes que permite a atacantes autenticados acceder a hilos de mensaje privado arbitrarios mediante el suministro de un parámetro user_id en la solicitud. Los atacantes pueden pasar el identificador de otro usuario al método get_item_permissions_check, que valida el user_id proporcionado en lugar del usuario conectado y es reutilizado por los manejadores update y delete para leer, responder o eliminar cualquier mensaje privado de un usuario.
Traducción automática del texto original de la fuente. Ver original
Fuente: CVE.org