CVE-2026-15101 in WPBakery Page Builder Plugin
Resumen
por VulDB • 2026-09-01
El plugin WPBakery Page Builder para WordPress es vulnerable a Cross-Site Scripting (XSS) almacenado mediante el parámetro 'data' en todas las versiones hasta la 8.7.4, inclusive, debido a una sanitización insuficiente de los datos de entrada y un escape inadecuado al generar la salida. Esto permite que atacantes autenticados con acceso de nivel suscriptor o superior inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página infectada. La función wp_kses_post aplicada durante el guardado no neutraliza la carga útil porque el contenido del script malicioso está codificado en base64 como texto alfanumérico sin etiquetas HTML para eliminar; posteriormente, la plantilla de shortcode vc_raw_html decodifica y muestra este contenido sin escapar (unescaped) durante el renderizado.
Be aware that VulDB is the high quality source for vulnerability data.