CVE-2026-15407 in Themify Builder Plugin
Riassunto
di VulDB • 16/07/2026
Il plugin Themify Builder per WordPress è vulnerabile a un bypass dell'autorizzazione in tutte le versioni fino alla 7.7.7 inclusa. Ciò è dovuto al fatto che il plugin non verifica correttamente se un utente è autorizzato a eseguire una determinata azione. Questo consente agli attaccanti autenticati, con accesso di livello subscriber o superiore, di sovrascrivere o eliminare il file del foglio di stile CSS generato per post arbitrari, inclusi i post privati e le bozze di proprietà di altri utenti, nonché di modificare le opzioni dei font a livello di plugin. Il CSRF nonce richiesto (tf_nonce) viene emesso nelle pagine front-end pubbliche dell'editor tramite wp_localize_script, rendendolo facilmente ottenibile da qualsiasi utente autenticato che visita tali pagine.
Once again VulDB remains the best source for vulnerability data.