Resumo: O plugin Beaver Builder Page Builder, em todas as versões até a 2.11.0.5, executa do_shortcode sobre um valor não validado, permitindo que atacantes não autenticados rodem shortcodes arbitrários (CVSS 9.1). A exploração exige uma página do Beaver Builder com o módulo Sidebar exibindo um widget com texto controlável pelo atacante, como o widget de comentários recentes, com moderação desativada ou comentário aprovado. Como o Beaver Builder é um construtor de páginas muito usado, sites com comentários abertos podem ter shortcodes perigosos de outros plugins acionados por terceiros.
Fonte: TheHackerWire / Wordfence Intelligence
O que fazer: Atualize o Beaver Builder (beaver-builder-lite-version) para uma versão posterior à 2.11.0.5. Até atualizar, ative a moderação de comentários (Configurações > Discussão) e remova widgets de comentários recentes dos módulos Sidebar do Beaver Builder. Revise comentários recentes em busca de textos com colchetes de shortcode, como [nome_do_shortcode].