CVE-2026-45436
ŚrednieCVSS 6.5Streszczenie
W WPBakery Page Builder w wersjach do 8.7.2 występuje problem z kontrolą dostępu, który może umożliwić nieautoryzowanym użytkownikom dostęp do zasobów subskrybentów.
Ocena ryzyka
Organizacje mogą być narażone na nieautoryzowany dostęp do danych subskrybentów, co może prowadzić do wycieku informacji i naruszenia prywatności.
Rekomendacja
Zaleca się aktualizację WPBakery Page Builder do najnowszej wersji, aby usunąć tę podatność.
Inne podatności w WPBakery Page Builder
Zobacz wszystkie- CVE-2026-15101Średnie
Wtyczka WPBakery Page Builder dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'data' we wszystkich wersjach do 8.7.4 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wstrzyknięcie dowolnych skryptów webowych na strony, które wykonają się przy dostępie użytkownika.
- CVE-2025-11161Średnie
Wtyczka WPBakery Page Builder dla WordPressa jest podatna na Stored Cross-Site Scripting przez shortcode vc_custom_heading we wszystkich wersjach do 8.6.1 włącznie. Wynika to z niewystarczającego ograniczenia dozwolonych tagów HTML i niewłaściwego oczyszczania atrybutów w parametrze font_container. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributor lub wyższym wstrzyknięcie dowolnych skryptów webowych w posty, które wykonają się, gdy użytkownik uzyska dostęp do zainfekowanej strony.
- CVE-2025-11160Średnie
Wtyczka WPBakery Page Builder dla WordPressa jest podatna na Stored Cross-Site Scripting przez moduł Custom JS we wszystkich wersjach do 8.6.1 włącznie. Wynika to z niewystarczającego oczyszczania wejścia i braku escapowania wyjścia dla kodu JavaScript dostarczanego przez użytkownika w module Custom JS. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie contributor lub wyższym wstrzyknięcie dowolnych skryptów webowych na strony, które wykonają się, gdy użytkownik uzyska dostęp do zainfekowanej strony.
Oryginalny opis (angielski, źródło NVD)
Subscriber Broken Access Control in WPBakery Page Builder <= 8.7.2 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS