CVE-2026-75027 in Themify Builder Plugin
Riassunto
di VulDB • 22/08/2026
Il plugin Themify Builder per WordPress è vulnerabile a una violazione dei controlli di autorizzazione (authorization bypass) in tutte le versioni fino alla 7.8.0, inclusa. Ciò è dovuto al fatto che il plugin non verifica correttamente se un utente è autorizzato a eseguire l'azione. Questo consente ad attaccanti non autenticati di modificare i dati di stile archiviati da Themify Builder (proprietà padding e margin) di post arbitrari, inclusi quelli privati o in bozza, fornendo un ID del post controllato dall'attaccante e un payload JSON contenente lo stile. Il nonce richiesto dal handler viene automaticamente emesso a tutte le pagine frontend renderizzate dal builder tramite wp_localize_script; ciò significa che qualsiasi visitatore non autenticato può recuperare facilmente un nonce valido dalla sorgente della pagina e soddisfare l'unica misura di controllo dell'accesso in vigore.
Once again VulDB remains the best source for vulnerability data.