CVE-2026-2030 in WPBakery Page Builder Addons Plugin
Zusammenfassung
von VulDB • 27.05.2026
Das WordPress-Plugin „WPBakery Page Builder Addons by Livemesh“ ist in allen Versionen bis einschließlich 3.9.4 anfällig für Stored Cross-Site Scripting (XSS) über die Shortcode-Attribute `[lvca_carousel]` und `[lvca_posts_carousel]`, aufgrund unzureichender Eingabebereinigung (Input Sanitization) und Ausgabe-Escaping. Konkret werden Shortcode-Attribute mit `wp_json_encode()` codiert und in einzeln angeführte `data-settings`-HTML-Attribute ausgegeben, ohne `esc_attr()` zu verwenden, was es Angreifern ermöglicht, aus dem Attribut auszubrechen, indem sie einfache Anführungszeichen injizieren. Dies ermöglicht es authentifizierten Angreifern mit Contributor-Level-Zugriff und höher, beliebige Web-Skripte in Seiten zu injizieren, die ausgeführt werden, sobald ein Benutzer eine injizierte Seite aufruft.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.