CVE-2026-78001
ŚrednieCVSS 6.4Streszczenie
Wtyczka Post and Page Builder by BoldGrid – Visual Drag and Drop Editor dla WordPressa jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez atrybut 'data-label' w Table Designer we wszystkich wersjach do 1.27.13 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolne skrypty do stron, które wykonają się przy każdej wizycie użytkownika.
Ocena ryzyka
Atakujący z kontem Contributor może trwale zainfekować strony witryny złośliwym kodem JavaScript, co może prowadzić do kradzieży sesji, przekierowań lub przejęcia konta administratora.
Rekomendacja
Zaktualizuj wtyczkę do wersji nowszej niż 1.27.13, gdy tylko będzie dostępna, a do tego czasu ogranicz liczbę kont Contributor i monitoruj nietypowe zmiany w treściach stron.
Inne podatności w Post and Page Builder by BoldGrid
Zobacz wszystkie- CVE-2026-100510Wysokie
Podatność Cross Site Scripting (XSS) bez uwierzytelnienia w wtyczce Post and Page Builder by BoldGrid w wersjach do 1.27.14. Nieuwierzytelniony atakujący może wstrzyknąć złośliwy skrypt.
- CVE-2025-69345Średnie
Brak autoryzacji w wtyczce Post and Page Builder by BoldGrid (wersje do 1.27.9) umożliwia wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
The Post and Page Builder by BoldGrid – Visual Drag and Drop Editor plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the Table Designer 'data-label' Attribute in all versions up to, and including, 1.27.13 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS