CVE-2025-12475
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka Blocksy Companion dla WordPressa (do wersji 2.1.14) jest podatna na przechowywany XSS przez shortcode 'blocksy_newsletter_subscribe' z powodu niewystarczającej sanityzacji i braku escape'owania atrybutów.
Ocena ryzyka
Uwierzytelnieni atakujący z dostępem na poziomie współautora mogą wstrzykiwać skrypty, które wykonają się u innych użytkowników, co może prowadzić do kradzieży sesji lub innych ataków.
Rekomendacja
Zaktualizuj wtyczkę Blocksy Companion do najnowszej wersji i ogranicz uprawnienia użytkowników.
Inne podatności w Blocksy Companion
Zobacz wszystkie- CVE-2026-97247Średnie
Podatność na nieautoryzowany dostęp (Broken Access Control) w Blocksy Companion w wersjach do 2.1.55, bez wymaganego uwierzytelnienia.
- CVE-2026-107645Krytyczne
Wtyczka Blocksy Companion do wersji 2.1.58 włącznie jest podatna na eskalację uprawnień. Handler AJAX implement_user_registration() wyłącza kontrolę nonce rejestracji Dokan i ufa dostarczonej przez atakującego wartości $_POST['role'], co pozwala nieuwierzytelnionym atakującym na uzyskanie konta sprzedawcy (seller) i automatyczne zalogowanie, nawet gdy rejestracja vendorów jest wyłączona.
- CVE-2026-15158Krytyczne
Wtyczka Blocksy Companion dla WordPressa jest podatna na dowolne przesyłanie plików w wersjach do 2.1.46 włącznie. Podatność wynika z błędnej walidacji rozszerzeń plików w funkcji save_attachments, co pozwala na ominięcie kontroli MIME i przesłanie plików z podwójnym rozszerzeniem, takich jak shell.woff2.php. Atak może prowadzić do zdalnego wykonania kodu, ale wymaga aktywacji premium wersji wtyczki z określonymi rozszerzeniami.
- CVE-2026-18488Średnie
Wtyczka Blocksy Companion dla WordPressa jest podatna na trwały atak XSS poprzez atrybut bloku 'tagName' (blocksy/dynamic-data) we wszystkich wersjach do 2.1.51 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie autora lub wyższym mogą wstrzyknąć złośliwe skrypty, które wykonają się przy każdej wizycie na zainfekowanej stronie.
Oryginalny opis (angielski, źródło NVD)
The Blocksy Companion plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the plugin's 'blocksy_newsletter_subscribe' shortcode in all versions up to, and including, 2.1.14 due to insufficient input sanitization and output escaping on user supplied attributes. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS