CVE-2026-115965: SQL Injection in BuddyPress

CVE-2026-115965 è una vulnerabilità di tipo Blind SQL Injection riscontrata in BuddyPress, il noto plugin di community e social networking per WordPress. La falla consente a un attaccante di inviare comandi SQL dannosi attraverso input non sanitizzati, potenzialmente accedendo a dati sensibili come credenziali utente, messaggi privati e configurazioni del sito, impattando direttamente la confidenzialità e l'integrità dei dati in tutte le installazioni vulnerabili.

La vulnerabilità è classificata con CVSS 8,5 (high severity), confermata da NVD il 29 ottobre 2026 e affetta le versioni di BuddyPress fino alla 14.5.2 (versione iniziale non precisata nella fonte ufficiale). Segnali di interesse pubblico sono stati rilevati su GitHub il 1° novembre 2026, coerenti con la gravità dichiarata. Lo stato della patch al momento della redazione non è ufficialmente riportato, rendendo critica la verifica continua dei canali ufficiali BuddyPress.

Per sysadmin e team IT: 1) Identificare tutte le installazioni WordPress con BuddyPress e verificarne la versione; 2) Monitorare costantemente gli aggiornamenti ufficiali BuddyPress; 3) Applicare patch di sicurezza non appena disponibili; 4) Valutare mitigazioni temporanee come Web Application Firewall rules per SQL injection; 5) Analizzare log di accesso al database per attività sospette; 6) Aumentare monitoring su database con credenziali utente.