BuddyPress 插件近日披露一项高危安全漏洞，威胁评分达 7.3。该漏洞允许未经身份验证的攻击者执行任意短代码，影响超过 10 万个 WordPress 网站。
BuddyPress 插件概况与安全记录
BuddyPress 是一款用于构建社区功能的 WordPress 插件，支持用户资料、活动流、私信及群组管理，广泛应用于会员站与在线社区，安装量超 10 万。在安全性方面，BuddyPress 过往表现良好，2025 年仅报告过一个威胁等级为 5.3 的中度漏洞。
未授权任意短代码执行漏洞详情
此次漏洞存在于 BuddyPress 14.3.3 及之前所有版本中。攻击者无需登录或具备任何用户权限即可触发。由于插件在向 do_shortcode 函数传递用户输入前缺乏有效验证，导致攻击者可强制网站执行本无权调用的短代码。
Wordfence 指出：“WordPress 的 BuddyPress 插件在所有版本（含 14.3.4）中均存在任意短代码执行漏洞。该软件允许用户在执行 do_shortcode 前未正确验证值的情况下进行操作，使未经身份验证的攻击者能够执行任意短代码。”
利用该漏洞，攻击者可能访问敏感信息、篡改网站内容或与第三方插件交互，造成受限功能暴露等严重后果。此漏洞不依赖特定服务器配置，凡使用受影响版本的站点均面临风险。
目前，官方已在 BuddyPress 14.3.4 版本中修复该问题。建议所有用户立即升级至 14.3.4 或更高版本以消除安全隐患。