CVE-2026-92084

सारांश

WordPress के लिए The Beaver Builder Page Builder – Drag and Drop Website Builder प्लगइन में 2.11.0.5 सहित सभी संस्करणों में मनमाने शॉर्टकोड निष्पादन की कमजोरी है। यह इसलिए है क्योंकि सॉफ़्टवेयर उपयोगकर्ताओं को ऐसी क्रिया निष्पादित करने की अनुमति देता है जो do_shortcode चलाने से पहले किसी मान को उचित रूप से मान्य नहीं करती। इससे अप्रमाणित हमलावरों के लिए मनमाने शॉर्टकोड निष्पादित करना संभव हो जाता है। शोषण के लिए आवश्यक है कि लक्ष्य साइट पर एक Beaver Builder पृष्ठ हो जिसमें Sidebar मॉड्यूल ऐसे विजेट से भरा हो जो हमलावर-नियंत्रित टेक्स्ट प्रदर्शित करता हो, जैसे कि कोर Recent Comments विजेट, जिसमें टिप्पणी मॉडरेशन अक्षम हो या हमलावर की टिप्पणी स्वीकृत हो।

स्रोत

• CVE-2026-92084-beaver-builder-shortcode-pocPoC

  CVE-2026-92084 के लिए Docker सत्यापन लैब और Python PoC, जो Beaver Builder Lite <= 2.11.0.5 में एक अनधिप्रमाणित शॉर्टकोड निष्पादन दोष है, साथ में पैच किया गया नियंत्रण और nuclei स्क्रीन।