CVE-2026-84028

Wtyczka Bold Page Builder dla WordPressa (wszystkie wersje do 5.9.6 włącznie) jest podatna na trwałe Cross-Site Scripting (Stored XSS) poprzez parametr 'shortcode_content' shortcode'u bt_bb_shortcode. Wynika to z obejścia filtra bezpieczeństwa (bt_bb_save_pre) za pomocą wstrzyknięcia bajtu null oraz niewystarczającej sanityzacji danych wyjściowych w handlerze shortcode'u bt_bb_raw_content. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających te strony.

Wtyczka Bold Page Builder w wersjach do 5.9.9 włącznie zawiera podatność Cross Site Scripting (XSS). Użytkownik z rolą Contributor może wstrzyknąć złośliwy kod skryptowy.

Wtyczka Bold Page Builder dla WordPressa przed wersją 5.9.8 nie sanityzuje i nie escapuje kilku atrybutów shortcode przed wypisaniem ich w atrybutach HTML, umożliwiając użytkownikom z rolą współautora lub wyższą wstrzyknięcie dowolnych skryptów internetowych, które wykonują się, gdy użytkownik przegląda dotkniętą stronę.

Wtyczka Bold Page Builder dla WordPressa przed wersją 5.9.8 nie sprawdza prawidłowo adresu URL linku przed wypisaniem go w atrybucie HTML, polegając na filtrze, który można obejść, umożliwiając użytkownikom z rolą współautora lub wyższą wstrzyknięcie dowolnych skryptów internetowych, które wykonują się, gdy użytkownik kliknie dotknięty link.

Wtyczka Bold Page Builder dla WordPressa do wersji 5.6.8 włącznie jest podatna na Stored Cross-Site Scripting przez shortcode 'bt_bb_shortcode'. Uwierzytelnieni atakujący z dostępem na poziomie contributora mogą wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Bold Page Builder dla WordPressa jest podatna na przechowywany cross-site scripting (XSS) poprzez shortcode bt_bb_accordion_item we wszystkich wersjach do 5.6.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych atrybutów podanych przez użytkownika. Uwierzytelnieni atakujący z poziomem współpracownika mogą wstrzykiwać dowolne skrypty do stron, które wykonają się u użytkowników odwiedzających zainfekowaną stronę.