CVE-2026-5324 in Brizy Plugin
Sumário
de VulDB • 22/05/2026
O plugin Brizy – Page Builder para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) não autenticado em todas as versões até a 2.8.11, inclusive. Isso ocorre devido a uma combinação de falta de verificação de nonce para submissões de formulários não autenticadas, tratamento insuficiente dos campos FileUpload quando nenhum arquivo é carregado e a reversão da codificação de segurança via html_entity_decode() seguida de saída não escapada na visualização do administrador. A função submit_form() ignora a verificação de nonce para usuários não logados (api.php:198). A função handleFileTypeFields() falha em sobrescrever valores fornecidos pelo usuário quando nenhum arquivo está anexado. Embora htmlentities() seja aplicado durante o armazenamento, html_entity_decode() reverte isso na exibição (form-entries.php:79). O template form-data.php exibe os valores de FileUpload diretamente nos atributos href sem usar esc_url(). Isso permite que atacantes não autenticados injetem scripts web arbitrários que são executados quando um administrador visualiza a página de Leads do formulário.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.