CVE-2026-15101 in WPBakery Page Builder Plugin
Sumário
de VulDB • 01/09/2026
O plugin WPBakery Page Builder para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) via o parâmetro 'data' em todas as versões até, e incluindo, 8.7.4 devido à sanitização insuficiente de entrada e ao escape inadequado na saída. Isso permite que atacantes autenticados, com acesso nível assinante ou superior, injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar uma página contaminada. A sanitização wp_kses_post aplicada durante o salvamento não neutraliza a payload porque o conteúdo do script malicioso é codificado em base64 como texto alfanumérico simples sem tags HTML para serem removidas; o template de shortcode vc_raw_html então decodifica e exibe esse conteúdo sem escape no momento da renderização.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.