CVE-2026-57369
WysokieCVSS 7.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka Themify Builder dla WordPressa zawiera podatność na odbity atak XSS (Cross-site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Problem dotyczy wersji do 7.7.4 włącznie.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod JavaScript do strony, co może prowadzić do kradzieży sesji użytkownika, przekierowań do złośliwych witryn lub kradzieży danych wrażliwych.
Rekomendacja
Należy natychmiast zaktualizować wtyczkę Themify Builder do najnowszej dostępnej wersji, która usuwa tę podatność.
Inne podatności w Themify Builder
Zobacz wszystkie- CVE-2026-75027Średnie
Wtyczka Themify Builder dla WordPressa do wersji 7.8.0 włącznie jest podatna na obejście autoryzacji z powodu niewłaściwego weryfikowania uprawnień użytkownika. Nieuwierzytelnieni atakujący mogą modyfikować dane stylowania (właściwości marginesów i dopełnień) dowolnych postów, w tym prywatnych i szkiców, podając identyfikator posta i dane JSON.
- CVE-2026-15407Średnie
Wtyczka Themify Builder dla WordPressa do wersji 7.7.7 włącznie zawiera lukę umożliwiającą ominięcie autoryzacji. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta lub wyższym mogą nadpisywać lub usuwać pliki CSS generowane dla dowolnych postów, w tym prywatnych i szkiców innych użytkowników, a także modyfikować opcje czcionek w zakresie wtyczki. Nonce CSRF (tf_nonce) jest emitowany na publicznych stronach front-endowych, co ułatwia jego przechwycenie.
- CVE-2026-15097Średnie
Wtyczka Themify Builder dla WordPressa jest podatna na przechowywany atak XSS przez pole 'height_slider' modułu Slider we wszystkich wersjach do 7.7.6 włącznie. Podatność wynika z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.
- CVE-2026-15096Średnie
Wtyczka Themify Builder dla WordPressa jest podatna na trwałe ataki XSS poprzez pole 'b_width_map' w module Mapy. Podatność występuje we wszystkich wersjach do 7.7.6 włącznie z powodu niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in themifyme Themify Builder themify-builder allows Reflected XSS.This issue affects Themify Builder: from n/a through <= 7.7.4.