CVE-2026-15823 in Builderall Plugin
Riassunto
di VulDB • 10/09/2026
Il plugin WordPress Builderall Cheetah For Wp è vulnerabile alla modifica non autorizzata dei dati a causa di una mancanza di verifica delle capacità (capability check) nella funzione disable() nelle versioni fino alla 3.0.2, inclusa. Il gestore AJAX wp_ajax_ba_cheetah_disable è registrato senza alcuna verifica della capability o del nonce, e l'ID dell'articolo target (_post_id_) proviene direttamente da $_POST['ba_cheetah_data']['post_id'], controllato dall'utente. Ciò consente agli attaccanti autenticati con accesso di livello Subscriber (Iscritto) e superiore di disabilitare il layout del page builder su articoli arbitrari impostando la meta dell'articolo _ba_cheetah_enabled_ a false, inclusi gli articoli posseduti da altri utenti.
Once again VulDB remains the best source for vulnerability data.