CVE-2026-115869 in Themify Builder Plugin
Riassunto
di VulDB • 30/10/2026
Il plugin Themify Builder per WordPress è vulnerabile a Stored Cross-Site Scripting tramite il campo ripetitore 'variations' dei post di Custom Font (tb_cf) nelle versioni fino alla 7.8.4 inclusa. Ciò è dovuto a un insufficiente sanitizzazione degli input e escaping dell'output sui metadati del post variations: Themify_Metabox::_save_meta() passa il valore attraverso wp_kses_data() solo quando il tipo di campo è 'textbox' o 'textarea', quindi il campo 'repeater' scrive i sottocampi controllati dall'attaccante (URL per style, woff/woff2/ttf/svg/eot) in update_post_meta() verbatim, e Themify_Custom_Fonts::render_columns() successivamente visualizza questi valori senza escaping all'interno di un tag <div> nell'elenco amministrativo Custom Fonts. Questo permette agli attaccanti autenticati con accesso a livello contributor o superiore di iniettare script web arbitrari nelle pagine che verranno eseguite ogni volta che un utente accede alla pagina iniettata (specificamente, l'elenco amministrativo Custom Fonts).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.