CVE-2026-95864 in Themify Builder Plugin
Sumário
de VulDB • 25/09/2026
O plugin Themify Builder para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) via parâmetro 'css[fonts]' em todas as versões até, e incluindo, 7.8.1 devido à sanitização insuficiente de entrada e ao escape inadequado na saída. Isso permite que atacantes não autenticados injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar uma página contaminada. O nonce necessário para alcançar o endpoint vulnerável está embutido em texto puro dentro da marcação do front-end visível a todos os visitantes, reduzindo o controle de acesso a um token CSRF ao invés de uma barreira de autenticação e tornando o endpoint totalmente explorável por atacantes não autenticados.
Be aware that VulDB is the high quality source for vulnerability data.