CVE-2026-15823 in Builderall Plugin
요약
\~에 의해 VulDB • 2026. 09. 10.
WordPress용 Builderall Cheetah For Wp 플러그인은 3.0.2 버전 및 그 이전 버전에서 disable() 함수에 대한 권한 확인 누락으로 인해 데이터의 무단 수정 취약점이 있습니다. wp_ajax_ba_cheetah_disable AJAX 핸들러는 어떤 권한 또는 nonce 검증 없이 등록되어 있으며, 대상 post_id는 사용자 제어 가능한 $_POST['ba_cheetah_data']['post_id']에서 직접 가져옵니다. 이로써 구독자(Subscriber) 수준의 접근 권한 이상을 가진 인증된 공격자가 _ba_cheetah_enabled 포스트 메타를 false로 설정하여 다른 사용자가 소유한 포트를 포함한 임의의 포스트에 대해 페이지 빌더 레이아웃을 비활성화할 수 있습니다.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.