Критическая уязвимость CVE-2026-92084 в Beaver Builder Page Builder: выполнение произвольных шорткодов без аутентификации
В плагине Beaver Builder Page Builder для WordPress обнаружена критическая уязвимость CVE-2026-92084 с оценкой CVSS 9.1. Она позволяет неаутентифицированному злоумышленнику выполнять произвольные шорткоды на уязвимых сайтах. Проблема затрагивает все версии плагина вплоть до 2.11.0.5 включительно.
Подробности
Уязвимости подвержены все версии плагина Beaver Builder Page Builder – Drag and Drop Website Builder вплоть до 2.11.0.5 включительно. Согласно описанию CVE, проблема заключается в том, что программное обеспечение позволяет выполнять действие, которое не проверяет должным образом значение перед вызовом функции do_shortcode. В результате неаутентифицированный атакующий получает возможность выполнять произвольные шорткоды. Оценка по шкале CVSS составляет 9.1 балла, что соответствует критическому уровню опасности. Для эксплуатации уязвимости требуется, чтобы на целевом сайте существовала страница Beaver Builder, содержащая модуль Sidebar, наполненный виджетом, отображающим подконтрольный атакующему текст. В качестве примера такого виджета в описании приводится стандартный виджет Recent Comments (последние комментарии) — при условии, что модерация комментариев отключена либо комментарий атакующего уже одобрен. Это означает, что для успешной атаки злоумышленнику необходимо наличие на сайте соответствующей конфигурации, однако при её наличии эксплуатация не требует учётных данных.Что делать
Основная рекомендация — как можно скорее обновить плагин Beaver Builder Page Builder до версии, в которой устранена уязвимость. Администраторам сайтов на WordPress следует проверить наличие актуальных обновлений у производителя плагина и применить их незамедлительно. Если установка исправления временно невозможна, рекомендуется рассмотреть следующие меры: — ограничить доступ к сайту или отдельным его разделам средствами веб-сервера или WAF; — проверить конфигурацию страниц, использующих модуль Sidebar, и убедиться, что в них не выводятся виджеты с потенциально контролируемым извне содержимым; — включить модерацию комментариев, чтобы исключить появление одобренного пользовательского контента без проверки; — усилить мониторинг журналов на предмет подозрительной активности, связанной с обработкой шорткодов. Также имеет смысл провести аудит уже существующего контента на предмет нежелательных или неизвестных шорткодов, которые могли появиться в результате эксплуатации. Итог: CVE-2026-92084 представляет серьёзную угрозу для сайтов, использующих Beaver Builder Page Builder версий до 2.11.0.5 включительно. Критический уровень CVSS 9.1 и отсутствие необходимости в аутентификации делают эту уязвимость приоритетной для устранения. Администраторам рекомендуется немедленно обновить плагин и проверить конфигурацию сайта.Источник: CVE Project (cvelistV5)