CVE-2026-111726

ŚrednieCVSS 6.4

Opublikowano: 17/10/2026(UTC)Zaktualizowano: 19/10/2026(UTC)Przetłumaczono: 17/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 8 - wyżej niż 8% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress 'Themify Builder' we wszystkich wersjach do 7.8.2 włącznie jest podatna na Stored Cross-Site Scripting poprzez atrybut shortcode 'visible' z powodu niedostatecznej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelnieni atakujący z uprawnieniami współpracownika lub wyższymi mogą wstrzykiwać dowolne skrypty internetowe do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę. Podatność jest wykorzystywana tylko wtedy, gdy aktywny jest niestandardowy typ posta 'slider', co jest spełnione automatycznie, gdy wtyczka jest sparowana z motywem Themify lub inną wtyczką rejestrującą CPT 'slider'.

Ocena ryzyka

Atakujący może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarce użytkownika, co może prowadzić do kradzieży sesji, przekierowań lub innych ataków. Może to naruszyć bezpieczeństwo witryny i jej użytkowników.

Rekomendacja

Zaktualizuj wtyczkę do wersji nowszej niż 7.8.2, która naprawia tę podatność. Jeśli aktualizacja nie jest możliwa, rozważ wyłączenie wtyczki lub ograniczenie uprawnień współpracowników.

Inne podatności w Themify Builder WordPress plugin

CVE-2026-115869Średnie
Wtyczka Themify Builder dla WordPressa (wersje do 7.8.4) jest podatna na przechowywane XSS poprzez pole repeater 'variations' w postach Custom Font (tb_cf). Niedostateczna sanityzacja i ucieczka danych w metadanych posta pozwala uwierzytelnionym atakującym z poziomem Contributor i wyższym wstrzykiwać dowolne skrypty, które wykonają się na liście administracyjnej Custom Fonts.

Oryginalny opis (angielski, źródło NVD)

The Themify Builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'visible' Shortcode Attribute in all versions up to, and including, 7.8.2 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This vulnerability is only exploitable when the 'slider' custom post type is active, which is satisfied automatically when the plugin is paired with a Themify theme or any other plugin that registers the 'slider' CPT.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS