CVE-2026-2470: Błąd niepoprawnej autoryzacji w wtyczce Page Builder: Pagelayer dla WordPress

Co wiadomo

Wtyczka Page Builder: Pagelayer do WordPressa do wersji 2.0.9 ma lukę niepoprawnej autoryzacji, która pozwala użytkownikom z uprawnieniami edycji postów na konfigurację szablonów formularzy kontaktowych wykorzystywanych przez nieautoryzowane zgłoszenia. Luka umożliwia atakującym na poziomie współtwórcy manipulację szablonami mailowymi, co może być wykorzystane do nadużyć w wysyłce wiadomości.

Wpływ biznesowy

Dla operatorów IT i właścicieli infrastruktury oznacza to ryzyko wykorzystania luki do wysyłania nieautoryzowanych wiadomości e-mail za pośrednictwem formularzy kontaktowych, co może prowadzić do nadużyć, spamu lub reputacyjnych problemów z domeną. Luka może być łączona z innymi podatnościami, zwiększając potencjalny zakres ataku i kontrolę nad zachowaniem systemu pocztowego.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Pagelayer i ich wdrożenie. W międzyczasie warto ograniczyć uprawnienia użytkowników do minimum niezbędnego do pracy, monitorować logi pod kątem nietypowej aktywności formularzy kontaktowych oraz rozważyć tymczasowe wyłączenie funkcji formularzy kontaktowych w Pagelayer. Priorytetowo traktuj przegląd i aktualizację zabezpieczeń wtyczek CMS.

Źródła

• NVD
• Reference
• Reference