CVE-2026-15407

Nome do Software Vulnerável e Versões Afetadas Themify Builder versões anteriores a 7.7.8

Descrição Existe uma falha de bypass de autorização porque o plugin não verifica adequadamente se um usuário está autorizado a realizar ações específicas. Atacantes autenticados com nível de acesso de assinante ou superior podem sobrescrever ou excluir arquivos de folha de estilo CSS gerados de postagens arbitrárias, incluindo postagens privadas e rascunhos de outros usuários, além de modificar opções de fonte com escopo do plugin. Isso é facilitado pelo nonce de CSRF tf nonce, que é exposto em páginas públicas do construtor front-end via wp localize script, permitindo que qualquer usuário autenticado o obtenha.

Recomendações Atualize o Themify Builder para a versão 7.7.8 ou posterior.