BuddyPress 圖片欄位外掛嚴重漏洞 CVE-2026-120518：開放註冊網站有未認證刪檔風險

情報摘要

BuddyPress XProfile Custom Image Field 3.1.0 及以前版本存在任意檔案刪除漏洞。Wordfence 指攻擊要求網站開放註冊，並在註冊表單使用圖片類型的個人資料欄位；刪除關鍵檔案可能進一步導致遠端程式碼執行。漏洞獲評 CVSS 3.1 9.1 分，Wordfence 目前列為沒有已知修補。

漏洞位於新用戶啟用時的圖片欄位處理。外掛根據訪客提供的註冊資料組合檔案路徑，卻未充分確認路徑位於預期圖片目錄內，可能令未認證攻擊者刪除任意檔案。

Wordfence 明確列出的利用前提是：網站開放註冊，而且註冊表單包含圖片類型的個人資料欄位。盤點外掛版本時，亦要檢查這兩項實際配置。

公告指出，刪除適當的關鍵檔案可能進一步帶來遠端程式碼執行風險。這是潛在後續影響，並非所有受影響網站都已被接管的證據。

Wordfence 通報首次公開於 2026 年 10 月 13 日，CVE Program 記錄於 11 月 3 日發布；核對時 Wordfence 仍標示未有已知修補版本。

受影響產品

WordPress 外掛 BuddyPress XProfile Custom Image Field（亦稱 BuddyPress XProfile Image Field），3.1.0 及以前版本

適用讀者

使用 BuddyPress 圖片個人資料欄位的香港社群網站、會員平台及網站管理員

建議行動

檢查是否使用該外掛，以及註冊表單有沒有圖片類型的個人資料欄位。Wordfence 列明沒有已知修補，並建議按風險考慮移除及尋找替代方案。管理員應優先評估停用或移除外掛，安排受支援的替代功能；過渡期間可暫停公開註冊以減少公告所述的攻擊入口，並保留備份及核查異常檔案刪除。

風險評級依據

Wordfence CNA 記錄列出 CVSS 3.1 9.1 分（Critical），向量為 CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H。未認證攻擊者可在符合註冊條件時刪除伺服器檔案，影響完整性及可用性；遠端程式碼執行屬刪除特定關鍵檔案後可能出現的後果。

解讀限制

本通報針對指定圖片欄位外掛，不能把受影響範圍擴大至所有 BuddyPress 或 WordPress 安裝。暫停註冊是減少入口的過渡措施，並非外掛修補。

所核對來源未確認實際利用或香港受害個案；亦未提供可視為安全版本的後續版本號。

資料來源

• Wordfence：BuddyPress XProfile Image Field CVE-2026-120518 通報 ↗來源刊登：2026-10-13
• CVE Program：CVE-2026-120518（Wordfence CNA 記錄） ↗來源刊登：2026-11-03