CVE-2026-2481
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 18 - wyżej niż 18% wszystkich znanych CVE
Streszczenie
Wtyczka Beaver Builder Page Builder dla WordPress do wersji 2.10.1.1 zawiera podatność na przechowywany XSS przez parametr 'settings[js]'. Uwierzytelnieni atakujący z dostępem autora mogą wstrzykiwać dowolne skrypty, które wykonują się przy odwiedzeniu strony.
Ocena ryzyka
Atakujący może wstrzykiwać złośliwe skrypty, które wykonują się w przeglądarkach odwiedzających, co może prowadzić do kradzieży sesji lub innych ataków.
Rekomendacja
Zaleca się aktualizację wtyczki Beaver Builder Page Builder do najnowszej wersji.
Oryginalny opis (angielski, źródło NVD)
The Beaver Builder Page Builder – Drag and Drop Website Builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'settings[js]' parameter in versions up to, and including, 2.10.1.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with author-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.