CVE-2026-15101

Nome do Software Vulnerável e Versões Afetadas WPBakery Page Builder versões anteriores a 8.7.5

Description A sanitização insuficiente de entrada e a falta de escape na saída permitem que atacantes autenticados com nível de acesso de assinante ou superior realizem Stored Cross-Site Scripting. Ao utilizar o parâmetro data, um atacante pode injetar scripts web arbitrários em páginas. O problema ocorre porque a função de sanitização wp kses post não neutraliza payloads codificados em base64, que são posteriormente decodificados e renderizados sem escape pelo template de shortcode vc raw html.

Recommendations Atualize o plugin para a versão 8.7.5 ou posterior.