CVE-2026-84021
NieznaneStreszczenie
Wtyczka Bold Page Builder dla WordPressa przed wersją 5.9.8 nie sprawdza prawidłowo adresu URL linku przed wypisaniem go w atrybucie HTML, polegając na filtrze, który można obejść, umożliwiając użytkownikom z rolą współautora lub wyższą wstrzyknięcie dowolnych skryptów internetowych, które wykonują się, gdy użytkownik kliknie dotknięty link.
Ocena ryzyka
Wstrzyknięcie skryptów przez link może prowadzić do kradzieży danych, przejęcia sesji lub przekierowania użytkowników na złośliwe strony.
Rekomendacja
Zaktualizuj wtyczkę Bold Page Builder do wersji 5.9.8 lub nowszej, która zawiera poprawkę walidacji adresów URL linków.
Inne podatności w Bold Page Builder
Zobacz wszystkie- CVE-2026-84022Nieznane
Wtyczka Bold Page Builder dla WordPressa przed wersją 5.9.8 nie sanityzuje i nie escapuje kilku atrybutów shortcode przed wypisaniem ich w atrybutach HTML, umożliwiając użytkownikom z rolą współautora lub wyższą wstrzyknięcie dowolnych skryptów internetowych, które wykonują się, gdy użytkownik przegląda dotkniętą stronę.
- CVE-2026-2357Średnie
Wtyczka Bold Page Builder dla WordPressa do wersji 5.6.8 włącznie jest podatna na Stored Cross-Site Scripting przez shortcode 'bt_bb_shortcode'. Uwierzytelnieni atakujący z dostępem na poziomie contributora mogą wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Oryginalny opis (angielski, źródło NVD)
The Bold Page Builder WordPress plugin before 5.9.8 does not properly validate a link URL before outputting it in an HTML attribute, relying on a filter that can be evaded, allowing users with the Contributor role and above to inject arbitrary web scripts that execute when a user clicks the affected link.