CVE-2025-11361
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 21 - wyżej niż 21% wszystkich znanych CVE
Streszczenie
Wtyczka Gutenberg Essential Blocks – Page Builder for Gutenberg Blocks & Patterns dla WordPressa jest podatna na Server-Side Request Forgery (SSRF) we wszystkich wersjach do 5.7.1 włącznie, poprzez funkcję eb_save_ai_generated_image. Uwierzytelnieni atakujący z dostępem na poziomie autora mogą wysyłać żądania do dowolnych lokalizacji.
Ocena ryzyka
Atakujący może wykorzystać SSRF do odpytywania i modyfikowania informacji z wewnętrznych usług, co może prowadzić do naruszenia poufności i integralności danych.
Rekomendacja
Zaktualizuj wtyczkę Gutenberg Essential Blocks do wersji nowszej niż 5.7.1, jeśli dostępna, lub zastosuj inne środki łagodzące.
Inne podatności w Gutenberg Essential Blocks
Zobacz wszystkie- CVE-2026-96256Średnie
Wtyczka Gutenberg Essential Blocks – Page Builder dla WordPress do wersji 6.4.5 włącznie jest podatna na Stored Cross-Site Scripting (XSS) przez atrybut 'marker' bloku Google Map. Podatność wynika z niedostatecznej sanityzacji wejścia i braku escape'owania wartości tytułu/treści markera, które są przechowywane jako JSON, a następnie dekodowane i konkatenowane bezpośrednio do surowego HTML przez frontendowy skrypt budujący InfoWindow. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie użytkownika do zainfekowanej strony.
- CVE-2026-13154Wysokie
Wtyczka Gutenberg Essential Blocks dla WordPressa przed wersją 6.4.0 nie weryfikuje, czy typ wpisu podany przez atakującego jest publicznie widoczny, zanim zapyta o niego w jednej z publicznych tras REST. Pozwala to nieuwierzytelnionym użytkownikom czytać opublikowane wpisy niestandardowych typów wpisów, które strona zarejestrowała jako niepubliczne.
- CVE-2026-13153Wysokie
Wtyczka Gutenberg Essential Blocks dla WordPressa przed wersją 6.4.0 nie ogranicza dostępu do jednej z publicznych tras REST i nadmiernie pobiera niepubliczny wskaźnik sprzedaży WooCommerce do odpowiedzi. Pozwala to nieuwierzytelnionym użytkownikom odczytać całkowitą liczbę sprzedanych sztuk dla dowolnego opublikowanego produktu.
- CVE-2026-10586Wysokie
Wtyczka Gutenberg Essential Blocks dla WordPressa do wersji 6.1.3 włącznie zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji `save_ai_generated_image()`. Uwierzytelnieni atakujący z dostępem na poziomie autora lub wyższym mogą wysyłać żądania do dowolnych lokalizacji zewnętrznych i wewnętrznych, co może pozwolić na odczyt i modyfikację danych z usług wewnętrznych.
- CVE-2025-11270Średnie
Wtyczka Gutenberg Essential Blocks – Page Builder dla WordPressa jest podatna na przechowywany atak XSS przez atrybut 'titleTag' we wszystkich wersjach do 5.7.1 włącznie. Problem wynika z niedostatecznej sanityzacji wejścia i braku escapingu wyjścia, co pozwala uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej na wstrzyknięcie skryptów.
Oryginalny opis (angielski, źródło NVD)
The Gutenberg Essential Blocks – Page Builder for Gutenberg Blocks & Patterns plugin for WordPress is vulnerable to Server-Side Request Forgery in all versions up to, and including, 5.7.1 via the eb_save_ai_generated_image function. This makes it possible for authenticated attackers, with Author-level access and above, to make web requests to arbitrary locations originating from the web application and can be used to query and modify information from internal services.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS