CVE-2025-12180
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 13 - wyżej niż 13% wszystkich znanych CVE
Streszczenie
Wtyczka Qi Blocks dla WordPressa jest podatna na brak autoryzacji we wszystkich wersjach do 1.4.3 włącznie. Wtyczka przechowuje dowolne style CSS przesłane przez endpoint REST API `qi-blocks/v1/update-styles` bez odpowiedniej sanityzacji w funkcji `update_global_styles_callback()`. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolny CSS, co może służyć do ukrywania treści, nakładania fałszywych elementów interfejsu lub eksfiltracji danych.
Ocena ryzyka
Atakujący z kontem Contributor może wstrzyknąć złośliwy CSS, który może oszukać użytkowników, ukryć ważne informacje lub wykradać dane poprzez techniki CSS injection. Może to prowadzić do phishingu lub utraty poufności.
Rekomendacja
Zaktualizuj wtyczkę Qi Blocks do wersji nowszej niż 1.4.3. Ogranicz uprawnienia Contributor i regularnie przeglądaj niestandardowe style CSS.
Inne podatności w Qi Blocks
Zobacz wszystkie- CVE-2026-10096Średnie
Wtyczka Qi Blocks dla WordPressa jest podatna na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w wersjach do 1.4.9 włącznie. Brak walidacji parametru 'page_id' umożliwia uwierzytelnionym atakującym z dostępem autora i wyższym modyfikację stylów Qi Blocks w dowolnych postach, szablonach lub widgetach, których nie są właścicielami, w tym na powierzchniach ogólnoserwisowych poprzez zarezerwowane wartości 'template' i 'widget'.
- CVE-2025-64383Średnie
Podatność typu Stored Cross-Site Scripting (XSS) w Qi Blocks (wersje do 1.4.3). Umożliwia atakującemu wstrzyknięcie trwałego skryptu, który wykona się w przeglądarce ofiary.
Oryginalny opis (angielski, źródło NVD)
The Qi Blocks plugin for WordPress is vulnerable to Missing Authorization in all versions up to, and including, 1.4.3. This is due to the plugin storing arbitrary CSS styles submitted via the `qi-blocks/v1/update-styles` REST API endpoint without proper sanitization in the `update_global_styles_callback()` function. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary CSS, which can be used to perform actions such as hiding content, overlaying fake UI elements, or exfiltrating sensitive information via CSS injection techniques.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS