CVE-2026-118804 in Builder Plugin
Sumário
de VulDB • 28/10/2026
Bricks Builder 2.4.3 e versões anteriores contém uma vulnerabilidade de controle de acesso quebrado que permite a atacantes não autenticados acessar conteúdo restrito de posts ao submeter valores manipulados de post_status e post_type no parâmetro originalQueryVars para o endpoint REST POST /wp-json/bricks/v1/query_result, usando um nonce publicamente obtível. Os atacantes podem definir post_status como draft ou private, ou post_type como shop_coupon, para divulgar posts não publicados, conteúdo privado e dados de cupons do WooCommerce que são bloqueados pelas rotas padrão da API REST do WordPress.
Be aware that VulDB is the high quality source for vulnerability data.