CVE-2026-1231: Stored Cross-Site Scripting w Beaver Builder Page Builder dla WordPress

Co wiadomo

Wtyczka Beaver Builder Page Builder dla WordPress do wersji 2.10.0.5 zawiera lukę typu Stored Cross-Site Scripting (XSS) w parametrze globalnych ustawień 'js'. Luka wynika z braku odpowiednich kontroli uprawnień i niewystarczającej sanitacji danych wejściowych, umożliwiając atakującym z dostępem na poziomie Custom lub wyższym wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z odpowiednimi uprawnieniami mogą wstrzykiwać złośliwe skrypty, które wykonują się przy każdym dostępie użytkownika do zainfekowanej strony. Może to prowadzić do kradzieży danych sesji, przekierowań lub innych działań szkodliwych dla użytkowników i reputacji firmy. Zagrożenie dotyczy środowisk korzystających z podatnej wersji wtyczki Beaver Builder.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Beaver Builder i jej instalację. W międzyczasie ogranicz dostęp do funkcji globalnych ustawień tylko do zaufanych użytkowników oraz monitoruj logi pod kątem podejrzanej aktywności. Warto również przeprowadzić przegląd konfiguracji uprawnień i rozważyć wdrożenie dodatkowych mechanizmów zabezpieczających przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference