CVE-2026-15096: Stored Cross-Site Scripting w wtyczce Themify Builder dla WordPress

Co wiadomo

Wtyczka Themify Builder dla WordPress do wersji 7.7.6 zawiera lukę typu Stored Cross-Site Scripting w module Map, pole 'b_width_map'. Luka wynika z niewystarczającej sanitacji danych wejściowych i ucieczki znaków wyjściowych, co umożliwia atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzin zainfekowanych stron, co może prowadzić do kradzieży danych sesji, przejęcia kont użytkowników lub innych działań szkodliwych dla witryny i jej użytkowników. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa aplikacji webowej.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Themify Builder i jej instalację, jeśli została wydana poprawka. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do niezbędnego minimum, monitorować logi pod kątem podejrzanej aktywności oraz rozważyć tymczasowe wyłączenie modułu Map. Regularne przeglądy i audyty bezpieczeństwa wtyczek WordPress są kluczowe dla minimalizacji ryzyka.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference