CVE-2026-5920
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka Bold Page Builder dla WordPressa (wszystkie wersje do 5.9.6 włącznie) jest podatna na trwałe Cross-Site Scripting (Stored XSS) poprzez parametr 'shortcode_content' shortcode'u bt_bb_shortcode. Wynika to z obejścia filtra bezpieczeństwa (bt_bb_save_pre) za pomocą wstrzyknięcia bajtu null oraz niewystarczającej sanityzacji danych wyjściowych w handlerze shortcode'u bt_bb_raw_content. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających te strony.
Ocena ryzyka
Stored XSS może prowadzić do kradzieży sesji, przejęcia konta lub rozprowadzania złośliwego kodu wśród użytkowników witryny. Ryzyko jest szczególnie wysokie, jeśli w witrynie jest wielu autorów lub redaktorów.
Rekomendacja
Należy zaktualizować wtyczkę Bold Page Builder do wersji nowszej niż 5.9.6, która zawiera poprawkę tego problemu.
Inne podatności w Bold Page Builder
Zobacz wszystkie- CVE-2026-62110Średnie
Wtyczka Bold Page Builder w wersjach do 5.9.9 włącznie zawiera podatność Cross Site Scripting (XSS). Użytkownik z rolą Contributor może wstrzyknąć złośliwy kod skryptowy.
- CVE-2026-84028Średnie
Wtyczka Bold Page Builder dla WordPressa przed wersją 5.9.9 nie sanityzuje i nie escapuje atrybutu shortcode'a przed wypisaniem go w atrybucie HTML, co pozwala użytkownikom z rolą Contributor i wyższą na wstrzykiwanie dowolnych skryptów webowych, które wykonują się, gdy użytkownik przegląda dotkniętą stronę.
- CVE-2026-84022Średnie
Wtyczka Bold Page Builder dla WordPressa przed wersją 5.9.8 nie sanityzuje i nie escapuje kilku atrybutów shortcode przed wypisaniem ich w atrybutach HTML, umożliwiając użytkownikom z rolą współautora lub wyższą wstrzyknięcie dowolnych skryptów internetowych, które wykonują się, gdy użytkownik przegląda dotkniętą stronę.
- CVE-2026-84021Średnie
Wtyczka Bold Page Builder dla WordPressa przed wersją 5.9.8 nie sprawdza prawidłowo adresu URL linku przed wypisaniem go w atrybucie HTML, polegając na filtrze, który można obejść, umożliwiając użytkownikom z rolą współautora lub wyższą wstrzyknięcie dowolnych skryptów internetowych, które wykonują się, gdy użytkownik kliknie dotknięty link.
- CVE-2026-2357Średnie
Wtyczka Bold Page Builder dla WordPressa do wersji 5.6.8 włącznie jest podatna na Stored Cross-Site Scripting przez shortcode 'bt_bb_shortcode'. Uwierzytelnieni atakujący z dostępem na poziomie contributora mogą wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2025-15267Średnie
Wtyczka Bold Page Builder dla WordPressa jest podatna na przechowywany cross-site scripting (XSS) poprzez shortcode bt_bb_accordion_item we wszystkich wersjach do 5.6.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych atrybutów podanych przez użytkownika. Uwierzytelnieni atakujący z poziomem współpracownika mogą wstrzykiwać dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających zainfekowaną stronę.
Oryginalny opis (angielski, źródło NVD)
The Bold Page Builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'shortcode_content' parameter of the bt_bb_shortcode shortcode in all versions up to, and including, 5.9.6. This is due to a bypassable security filter (bt_bb_save_pre) that can be circumvented via null byte injection, combined with insufficient output sanitization of base64-decoded content in the bt_bb_raw_content shortcode handler. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS