CVE-2026-115869

ŚrednieCVSS 6.4

Opublikowano: 30/10/2026(UTC)Zaktualizowano: 30/10/2026(UTC)Przetłumaczono: 30/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.30%

Percentyl 22 - wyżej niż 22% wszystkich znanych CVE

Streszczenie

Wtyczka Themify Builder dla WordPressa (wersje do 7.8.4) jest podatna na przechowywane XSS poprzez pole repeater 'variations' w postach Custom Font (tb_cf). Niedostateczna sanityzacja i ucieczka danych w metadanych posta pozwala uwierzytelnionym atakującym z poziomem Contributor i wyższym wstrzykiwać dowolne skrypty, które wykonają się na liście administracyjnej Custom Fonts.

Ocena ryzyka

Atakujący z uprawnieniami Contributor może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce administratora odwiedzającego listę Custom Fonts, co może prowadzić do przejęcia sesji administratora.

Rekomendacja

Zaktualizuj wtyczkę Themify Builder do wersji nowszej niż 7.8.4. Rozważ ograniczenie uprawnień Contributorów do edycji Custom Fonts.

Inne podatności w Themify Builder WordPress Plugin

CVE-2026-111726Średnie
Wtyczka WordPress 'Themify Builder' we wszystkich wersjach do 7.8.2 włącznie jest podatna na Stored Cross-Site Scripting poprzez atrybut shortcode 'visible' z powodu niedostatecznej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelnieni atakujący z uprawnieniami współpracownika lub wyższymi mogą wstrzykiwać dowolne skrypty internetowe do stron, które zostaną wykonane, gdy użytkownik odwiedzi zainfekowaną stronę. Podatność jest wykorzystywana tylko wtedy, gdy aktywny jest niestandardowy typ posta 'slider', co jest spełnione automatycznie, gdy wtyczka jest sparowana z motywem Themify lub inną wtyczką rejestrującą CPT 'slider'.

Oryginalny opis (angielski, źródło NVD)

The Themify Builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'variations' repeater field of Custom Font (tb_cf) posts in versions up to, and including, 7.8.4. This is due to insufficient input sanitization and output escaping on the variations post meta: Themify_Metabox::_save_meta() only passes the value through wp_kses_data() when the field type is 'textbox' or 'textarea', so the 'repeater' field writes attacker-controlled sub-fields (style, woff/woff2/ttf/svg/eot URLs) to update_post_meta() verbatim, and Themify_Custom_Fonts::render_columns() later echoes those values unescaped inside a <style> block on the Custom Fonts admin listing. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page (specifically, the Custom Fonts admin listing).

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS