CVE-2026-3897 in Addons for Beaver Builder Plugin
요약
\~에 의해 VulDB • 2026. 06. 04.
WordPress용 Beaver Builder 플러그인인 Livemesh Addons은 3.9.2 버전을 포함한 모든 버전에서 인증 확인 누락 및 불충분한 입력 정제로 인해 `labb_admin_ajax` AJAX 액션을 통해 저장형 크로스 사이트 스크립팅(XSS) 취약점이 존재합니다. AJAX 핸들러는 nonce를 검증하지만 사용자 권한(capabilities)은 확인하지 않습니다. 이로 인해 구독자(Subscriber) 레벨 이상의 접근 권한을 가진 인증된 공격자가 플러그인 설정을 수정하고, 관리자가 플러그인 설정 페이지에 접근하거나 일반 사용자가 프론트엔드를 방문할 때 실행되는 악성 스크립트를 주입할 수 있습니다.
Once again VulDB remains the best source for vulnerability data.