CVE-2025-11162
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka Spectra Gutenberg Blocks dla WordPressa jest podatna na przechowywany XSS poprzez pole Custom CSS we wszystkich wersjach do 2.19.14 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Ocena ryzyka
Atakujący z kontem Contributor może wstrzyknąć złośliwy kod JavaScript, który wykona się w przeglądarce administratora lub innych użytkowników, co może prowadzić do kradzieży sesji lub przejęcia konta. Ryzyko dotyczy witryn z wieloma autorami lub otwartą rejestracją.
Rekomendacja
Zaktualizuj wtyczkę Spectra Gutenberg Blocks do wersji nowszej niż 2.19.14. Jeśli aktualizacja nie jest możliwa, ogranicz uprawnienia Contributor i włącz filtrowanie treści.
Inne podatności w Spectra Gutenberg Blocks
Zobacz wszystkie- CVE-2026-12900Średnie
Wtyczka Spectra Gutenberg Blocks – Website Builder for the Block Editor dla WordPressa do wersji 2.19.28 włącznie jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez blok `uagb/image`. Podatność wynika z niedostatecznego oczyszczania wejścia i ucieczki wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie Contributor i wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się przy odwiedzeniu strony.
- CVE-2026-7465Wysokie
Podatność we wtyczce Spectra Gutenberg Blocks dla WordPress do wersji 2.19.25 włącznie, umożliwiająca uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym zdalne wykonanie kodu na serwerze poprzez osadzenie dwóch bloków w treści posta.
Oryginalny opis (angielski, źródło NVD)
The Spectra Gutenberg Blocks – Website Builder for the Block Editor plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the Custom CSS in all versions up to, and including, 2.19.14 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS