CVE-2026-2585

ŚrednieCVSS 6.4

Opublikowano: 18/09/2026(UTC)Zaktualizowano: 19/09/2026(UTC)Przetłumaczono: 18/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 5 - wyżej niż 5% wszystkich znanych CVE

Streszczenie

Wtyczka Brizy – Page Builder dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'rootAttributes' we wszystkich wersjach do 2.8.14 włącznie, z powodu niedostatecznej sanityzacji wejścia i braku escapingu wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Ocena ryzyka

Atakujący może wykraść dane sesji, przejąć konta użytkowników lub rozprzestrzeniać złośliwe treści, co może prowadzić do naruszenia bezpieczeństwa całej witryny WordPress.

Rekomendacja

Zaleca się natychmiastową aktualizację wtyczki do wersji, która zawiera poprawkę. Dodatkowo należy ograniczyć uprawnienia do tworzenia treści tylko dla zaufanych użytkowników.

Inne podatności w Brizy – Page Builder

CVE-2025-0969Średnie
Wtyczka Brizy – Page Builder dla WordPressa do wersji 2.7.16 włącznie jest podatna na ujawnienie wrażliwych informacji przez funkcję get_users(). Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora (Contributor) lub wyższym wyodrębnienie danych, w tym adresów e-mail i zahaszowanych haseł administratorów.

Oryginalny opis (angielski, źródło NVD)

The Brizy – Page Builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the ‘rootAttributes’ parameter in all versions up to, and including, 2.8.14 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS