CVE-2026-2357
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka Bold Page Builder dla WordPressa do wersji 5.6.8 włącznie jest podatna na Stored Cross-Site Scripting przez shortcode 'bt_bb_shortcode'. Uwierzytelnieni atakujący z dostępem na poziomie contributora mogą wstrzykiwać dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Ocena ryzyka
Atakujący może wykraść dane sesji użytkowników, w tym administratorów, co może prowadzić do przejęcia kont i kompromitacji witryny.
Rekomendacja
Zaktualizuj wtyczkę Bold Page Builder do najnowszej wersji, jeśli dostępna jest poprawka. Ogranicz liczbę kont z uprawnieniami contributora i regularnie sprawdzaj treści pod kątem złośliwego kodu.
Oryginalny opis (angielski, źródło NVD)
The Bold Page Builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the plugin's 'bt_bb_shortcode' shortcode in all versions up to, and including, 5.6.8 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.