CVE-2026-92084
Beaver Builder Page Builder <= 2.11.0.5 - تنفيذ Shortcode عشوائي دون مصادقة عبر مخرجات Widget لوحدة الشريط الجانبي
- تم النشر
- 03/10/2026
- محدث
- 03/10/2026
- تخصيص CNA
- Wordfence
- الأدلة المرصودة
- 04/11/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Nمنخفض · الثلاثين يومًا القادمة
- المئوية
- 56.7%
- تاريخ الموديل
- 04/11/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
إن إضافة The Beaver Builder Page Builder – Drag and Drop Website Builder الخاصة بـ WordPress معرّضة لتنفيذ اختصارات عشوائية (arbitrary shortcode execution) في جميع الإصدارات حتى الإصدار 2.11.0.5 وما يشملها. ويعود ذلك إلى أن البرنامج يسمح للمستخدمين بتنفيذ إجراء لا يتحقق بشكل صحيح من قيمة ما قبل تشغيل do_shortcode. وهذا يجعل من الممكن للمهاجمين غير المصادق عليهم تنفيذ اختصارات عشوائية. يتطلب الاستغلال أن يحتوي الموقع المستهدف على صفحة Beaver Builder تتضمن وحدة Sidebar (الشريط الجانبي) المزوّدة بأداة عرض (widget) تعرض نصًا يمكن للمهاجم التحكم فيه، مثل أداة Recent Comments الأساسية، مع تعطيل إشراف التعليقات أو الموافقة على تعليق المهاجم.
المصادر
مختبر تحقق Docker وإثبات مفهوم Python للثغرة CVE-2026-92084، وهي ثغرة تنفيذ shortcode دون مصادقة في Beaver Builder Lite <= 2.11.0.5، مع عنصر تحكم مُرقّع وشاشة nuclei.
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.