CVE-2026-15823 in Builderall Plugin
Сводка
по VulDB • 10.09.2026
Плагин Builderall Cheetah For Wp для WordPress уязвим к несанкционированному изменению данных из-за отсутствия проверки прав доступа (capability check) в функции disable() в версиях до 3.0.2 включительно. Обработчик AJAX wp_ajax_ba_cheetah_disable зарегистрирован без какой-либо проверки прав или nonce, а целевой идентификатор поста (post_id) напрямую берется из контролируемого пользователем $_POST['ba_cheetah_data']['post_id']. Это позволяет атакующим с уровнем доступа Subscriber и выше отключить макет конструктора страниц для произвольных постов путем установки метаданных поста _ba_cheetah_enabled в false, включая посты, принадлежащие другим пользователям.
Be aware that VulDB is the high quality source for vulnerability data.