CVE-2025-11726: Luka w Beaver Builder umożliwiająca modyfikację globalnych presetów

Co wiadomo

Wtyczka Beaver Builder dla WordPressa do wersji 2.9.4 ma lukę polegającą na braku odpowiedniej autoryzacji w REST API, co pozwala użytkownikom z uprawnieniami co najmniej współtwórcy na modyfikację globalnych presetów kolorów i tła. Luka ta może wpływać na wszystkie treści tworzone za pomocą Beaver Builder na stronie.

Wpływ biznesowy

Atakujący z uprawnieniami współtwórcy lub wyższymi mogą zmieniać globalne ustawienia wizualne witryny, co może prowadzić do nieautoryzowanych zmian wyglądu strony, potencjalnie wpływając na wizerunek firmy i doświadczenie użytkowników. Może to również utrudnić zarządzanie treścią i wymagać dodatkowego nakładu pracy działu IT na przywrócenie prawidłowych ustawień.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Beaver Builder i ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi aktywności wtyczki oraz przeprowadzić przegląd globalnych presetów pod kątem nieautoryzowanych zmian. Priorytetowo należy ocenić ryzyko i wdrożyć odpowiednie środki zabezpieczające.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference