CVE-2026-15820
ŚrednieCVSS 6.4Streszczenie
Wtyczka Builderall for WordPress jest podatna na trwałe wstrzyknięcie skryptów (Stored XSS) poprzez ustawienie 'attributes' modułu Photo we wszystkich wersjach do 3.0.2 włącznie z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.
Ocena ryzyka
Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się u użytkowników odwiedzających zainfekowaną stronę, co może prowadzić do kradzieży sesji lub przejęcia konta.
Rekomendacja
Zaktualizuj wtyczkę Builderall for WordPress do wersji nowszej niż 3.0.2. Do czasu aktualizacji ogranicz uprawnienia Contributor i rozważ wyłączenie modułu Photo.
Inne podatności w Builderall for WordPress
Zobacz wszystkie- CVE-2026-15796Średnie
Wtyczka Builderall for WordPress jest podatna na trwałe wstrzyknięcie skryptów (Stored XSS) poprzez ustawienie 'bg_video_service_url' we wszystkich wersjach do 3.0.2 włącznie z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych.
- CVE-2026-11882Niskie
Wtyczka Builderall for WordPress przed wersją 3.0.2 nie wiąże wartości stanu swoich publicznych tras uwierzytelniania OAuth z sesją inicjującego użytkownika, co pozwala nieuwierzytelnionym atakującym na ukończenie przepływu połączenia i nadpisanie przechowywanego tokena dostępu do integracji zewnętrznej.
Oryginalny opis (angielski, źródło NVD)
The Builderall for WordPress plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Photo Module 'attributes' Setting in all versions up to, and including, 3.0.2 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.