CVE-2026-56032: BuddyBoss Platform: Injeção de Objeto PHP via Perfil Assinante

Visão geral

A CVE-2026-56032 é um problema de injeção de objeto PHP (CWE-502, desserialização de dados não confiáveis) no plugin BuddyBoss Platform para WordPress. O registro descreve que ele afeta versões até a 3.0.4, inclusive. A Patchstack é a CNA, e sua entrada na base de vulnerabilidades é a principal referência do registro.

Impacto

A pontuação base CVSS 3.1 registrada é 9,8 (crítica), com vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H.
Esse vetor indica caminho de ataque pela rede, baixa complexidade, nenhum privilégio exigido, nenhuma interação do usuário e alto impacto em confidencialidade, integridade e disponibilidade.
Falhas de desserialização dessa classe podem, em termos gerais, permitir que entradas não confiáveis influenciem objetos da aplicação. As consequências exatas neste plugin não estão detalhadas no registro.

Produtos e versões afetadas

Produto: BuddyBoss Platform (plugin para WordPress).
Faixa descrita: versões até a 3.0.4, inclusive.
A lista estruturada de itens afetados do registro está vazia, então os limites exatos e identificadores de build devem ser confirmados com o fornecedor ou com a Patchstack.

Status de exploração

O registro indica que a CVE não consta no catálogo KEV da CISA. Não há exploração confirmada nas fontes consultadas. A probabilidade EPSS registrada é 0,00564, com percentil de 0,45332.

Correção e mitigação

Nenhuma versão corrigida consta no registro. A ausência de correção listada não significa que ela não exista.
Verifique a versão instalada do BuddyBoss Platform. Se for a 3.0.4 ou inferior, siga as orientações do fornecedor ou da Patchstack para atualização assim que estiver disponível.
Em sites que não precisam de cadastro aberto, restrinja a criação de contas e revise perfis e permissões de usuários.
Mantenha o WordPress e os plugins atualizados e remova os plugins que não são utilizados.

Orientações de detecção

Faça o inventário de todos os sites com BuddyBoss Platform e registre as versões instaladas.
Revise os logs do servidor web e da aplicação em busca de requisições incomuns a endpoints do BuddyBoss e de alterações inesperadas em contas ou conteúdo.
Acompanhe a entrada na base da Patchstack para atualizações.

Limitações das informações disponíveis

O campo de título estava vazio no registro de origem, por isso os títulos aqui foram derivados da descrição.
A descrição menciona o perfil Subscriber, mas o vetor CVSS define privilégios exigidos como nenhum (PR:N). Essa divergência não está resolvida nas fontes consultadas.
O registro não contém versão corrigida, referência de patch nem aviso oficial do fornecedor.
As datas de publicação e de EPSS foram reproduzidas conforme registradas e não foram verificadas de forma independente.

Perguntas frequentes

O que é a CVE-2026-56032?

É um problema de injeção de objeto PHP (CWE-502) no plugin BuddyBoss Platform para WordPress, descrito como afetando versões até a 3.0.4, inclusive. A Patchstack é a CNA que publicou o registro.

Há exploração conhecida dessa vulnerabilidade?

O registro indica que ela não consta no catálogo KEV da CISA, e não há exploração confirmada nas fontes consultadas. Mesmo assim, a pontuação crítica exige atenção e verificação das versões instaladas.

O que os administradores de sites devem fazer agora?

Verifique se o BuddyBoss Platform está instalado na versão 3.0.4 ou inferior, siga as orientações do fornecedor ou da Patchstack para atualização quando disponíveis e revise o cadastro e os perfis de usuários do site.

Esta análise foi redigida com auxílio de IA a partir de dados verificados das fontes e checada automaticamente contra eles.