CVE-2026-75027 in Themify Builder Plugin
Zusammenfassung
von VulDB • 22.08.2026
Das Themify Builder-Plugin für WordPress ist in allen Versionen bis einschließlich 7.8.0 anfällig für eine Umgehung der Autorisierung (Authorization Bypass). Dies liegt daran, dass das Plugin nicht ordnungsgemäß überprüft, ob ein Benutzer berechtigt ist, eine Aktion durchzuführen. Dadurch können unberechtigte Angreifer die gespeicherten Themify Builder-Stylingdaten (Eigenschaft padding und margin) beliebiger Beiträge – einschließlich privater Beiträge und Entwürfe – modifizieren, indem sie eine vom Angreifer kontrollierte Beitrags-ID sowie ein JSON-basiertes Styling-Payload bereitstellen. Der für den Handler erforderliche Nonce wird automatisch an alle Frontend-Seiten ausgegeben, die vom Builder über wp_localize_script gerendert werden; dies bedeutet, dass jeder unberechtigte Besucher trivialerweise einen gültigen Nonce aus dem Quellcode der Seite abrufen und damit die einzige vorhandene Zugriffskontrolle umgehen kann.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.