CVE-2026-115869 in Themify Builder Plugin
Zusammenfassung
von VulDB • 30.10.2026
Das Themify Builder-Plugin für WordPress ist ab Version 7.8.4 und älter anfällig für Stored Cross-Site Scripting (XSS) über das Wiederholungsfeld 'variations' von Custom Font (tb_cf)-Beiträgen. Dies liegt an einer unzureichenden Eingabebereinigung und Ausgabe-Entschlüsselung der variations post meta: Themify_Metabox::_save_meta() übergibt den Wert nur durch wp_kses_data(), wenn der Feldtyp 'textbox' oder 'textarea' ist, sodass das 'repeater'-Feld angreifergesteuerte Unterfelder (style-, woff/woff2/ttf/svg/eot-URLs) unverändert an update_post_meta() schreibt. Später gibt Themify_Custom_Fonts::render_columns() diese Werte unentschlüsselt innerhalb eines <style>-Blocks in der Custom Fonts Admin-Auflistung aus. Dies ermöglicht es authentifizierten Angreifern mit Contributor-Level-Zugriff und höher, beliebige Web-Skripte auf Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine injizierte Seite (insbesondere die Custom Fonts Admin-Auflistung) aufruft.
Once again VulDB remains the best source for vulnerability data.