CVE-2026-62138
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 3 - wyżej niż 3% wszystkich znanych CVE
Streszczenie
Wtyczka Visual Composer Website Builder w wersjach do 45.16.1 włącznie zawiera podatność Cross Site Scripting (XSS), którą może wykorzystać użytkownik z uprawnieniami Contributor. Pozwala to na wstrzyknięcie złośliwego skryptu do treści strony.
Ocena ryzyka
Wstrzyknięcie skryptu może prowadzić do kradzieży sesji, przejęcia konta lub modyfikacji treści widocznej dla innych użytkowników serwisu.
Rekomendacja
Zaktualizuj wtyczkę Visual Composer Website Builder do wersji nowszej niż 45.16.1, gdy tylko poprawka będzie dostępna, oraz zweryfikuj uprawnienia użytkowników z rolą Contributor.
Inne podatności w Visual Composer Website Builder
Zobacz wszystkie- CVE-2026-65568Średnie
Wtyczka Visual Composer Website Builder w wersji 45.15.0 i starszych ma podatność na złamanie kontroli dostępu dla użytkowników z rolą Współautora. Osoba o niskich uprawnieniach może uzyskać nieautoryzowany dostęp do funkcji.
- CVE-2026-12227Krytyczne
Wtyczka Visual Composer Website Builder dla WordPressa do wersji 45.16.0 włącznie jest podatna na lokalne dołączanie plików przez parametr `vcv-template`. Niezalogowany atakujący może dołączać i wykonywać dowolne pliki na serwerze, co pozwala na wykonanie kodu PHP w tych plikach.
Oryginalny opis (angielski, źródło NVD)
Contributor Cross Site Scripting (XSS) in Visual Composer Website Builder <= 45.16.1 versions.