PT-2026-31305 · WordPress · Pagelayer

Athiwat Tiprasaharn · CVE-2026-2509 · Publicado 2026-04-08 · Atualizado 2026-07-25

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Name of the Vulnerable Software and Affected Versions Page Builder: Pagelayer plugin para WordPress versões até e incluindo 2.0.8

Description O plugin Page Builder: Pagelayer para WordPress é suscetível a Cross-Site Scripting Persistente (XSS) através do campo Atributos Personalizados do widget Botão. Isso é causado por uma lista de bloqueio de manipuladores de eventos incompleta dentro da função de filtragem XSS pagelayer xss content, que não bloqueia todos os manipuladores de eventos. Atacantes autenticados com acesso de nível Contributor ou superior podem injetar scripts web arbitrários em páginas, que serão executados quando um usuário acessar a página injetada.

Recommendations Versões anteriores a 2.0.9 devem ser atualizadas.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-2509

Produtos afetados

Pagelayer

Referências · 8

• https://plugins.trac.wordpress.org/browser/pagelayer/trunk/main/shortcode_functions.php#L689 · Nota
• https://t.me/cveNotify/222945 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/915c119d-2bae-4ea6-babb-7e8e99054cd0?source=cve · Nota
• https://twitter.com/CVEnew/status/2043295654684840113 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2026-2509 · Nota de Segurança
• https://t.me/CVEtracker/50056 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/pagelayer/trunk/main/functions.php#L1293 · Nota
• https://plugins.trac.wordpress.org/changeset/3479046 · Nota