CVE-2026-2481
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Wtyczka Beaver Builder Page Builder dla WordPress do wersji 2.10.1.1 zawiera podatność na przechowywany XSS przez parametr 'settings[js]'. Uwierzytelnieni atakujący z dostępem autora mogą wstrzykiwać dowolne skrypty, które wykonują się przy odwiedzeniu strony.
Ocena ryzyka
Atakujący może wstrzykiwać złośliwe skrypty, które wykonują się w przeglądarkach odwiedzających, co może prowadzić do kradzieży sesji lub innych ataków.
Rekomendacja
Zaleca się aktualizację wtyczki Beaver Builder Page Builder do najnowszej wersji.
Inne podatności w Beaver Builder Page Builder
Zobacz wszystkie- CVE-2026-92084Krytyczne
Wtyczka Beaver Builder Page Builder dla WordPressa do wersji 2.11.0.5 włącznie jest podatna na wykonanie dowolnych shortcode'ów. Podatność wynika z braku odpowiedniej walidacji wartości przed wywołaniem funkcji do_shortcode, co umożliwia nieuwierzytelnionym atakującym wykonanie dowolnych shortcode'ów. Wykorzystanie wymaga strony z modułem Sidebar zawierającym widget wyświetlający tekst kontrolowany przez atakującego, np. widget Recent Comments z zatwierdzonym komentarzem.
- CVE-2026-17090Średnie
Wtyczka Beaver Builder Page Builder dla WordPressa do wersji 2.10.2.2 włącznie jest podatna na przechowywany atak XSS przez ustawienie Button Code w module przycisku. Brak odpowiedniej sanitizacji i escapingu umożliwia uwierzytelnionym atakującym z dostępem na poziomie autora wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do strony.
Oryginalny opis (angielski, źródło NVD)
The Beaver Builder Page Builder – Drag and Drop Website Builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'settings[js]' parameter in versions up to, and including, 2.10.1.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with author-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS