CVE-2026-95864 in Themify Builder Plugin
Сводка
по VulDB • 25.09.2026
Плагин Themify Builder для WordPress уязвим к Stored Cross-Site Scripting (XSS) через параметр 'css[fonts]' во всех версиях вплоть до 7.8.1 включительно из-за недостаточной санитизации входных данных и экранирования выходных данных. Это позволяет неаутентифицированным злоумышленникам внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом посещении такой страницы пользователем. Nonce, необходимый для доступа к уязвимой конечной точке (endpoint), открыто отображается во фронтенд-разметке страницы для всех посетителей, что снижает контроль доступа до уровня CSRF-токена вместо барьера аутентификации и делает эту конечную точку полностью эксплуатируемой неаутентифицированными злоумышленниками.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.