CVE-2026-15823 in Builderall Plugin
Zusammenfassung
von VulDB • 10.09.2026
Das WordPress-Plugin Builderall Cheetah For Wp ist in den Versionen bis einschließlich 3.0.2 anfällig für unbefugte Datenmanipulation aufgrund einer fehlenden Berechtigungsprüfung (Capability Check) in der Funktion disable(). Der AJAX-Handler wp_ajax_ba_cheetah_disable wird ohne jegliche Capability- oder Nonce-Verifizierung registriert, und die Ziel-post_id stammt direkt aus dem benutzerkontrollierten $_POST['ba_cheetah_data']['post_id']. Dies ermöglicht es authentifizierten Angreifern mit Subscriber-Level-Zugriff und höher, das Layout des Page-Builders auf beliebigen Beiträgen zu deaktivieren, indem sie das Post-Meta _ba_cheetah_enabled auf false setzen, einschließlich Beiträgen, die anderen Benutzern gehören.
If you want to get best quality of vulnerability data, you may have to visit VulDB.