CVE-2025-9075
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 15 - wyżej niż 15% wszystkich znanych CVE
Streszczenie
Wtyczka ZoloBlocks dla WordPressa jest podatna na przechowywany atak XSS przez wiele bloków Gutenberga w wersjach do 2.3.10 włącznie. Problem wynika z niedostatecznej sanityzacji wejścia i escapingu wyjścia w atrybutach takich jak markery Google Maps, podpisy Lightbox, atrybuty danych Image Gallery, pola prefiks/sufiks Progress Pie oraz pola URL Text Path.
Ocena ryzyka
Uwierzytelnieni atakujący z dostępem na poziomie Contributor i wyżej mogą wstrzykiwać złośliwe skrypty, które wykonają się podczas odwiedzania stron, co może prowadzić do kradzieży danych lub przejęcia kont.
Rekomendacja
Zaleca się aktualizację wtyczki do wersji powyżej 2.3.10 oraz wdrożenie odpowiednich mechanizmów sanityzacji i escapingu dla wszystkich atrybutów bloków.
Inne podatności w ZoloBlocks
Zobacz wszystkie- CVE-2025-12134Średnie
Wtyczka ZoloBlocks – Gutenberg Block Editor Plugin with Advanced Blocks, Dynamic Content, Templates & Patterns dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w funkcji update_popup_status() we wszystkich wersjach do 2.3.11 włącznie. Dzięki temu nieuwierzytelnieni atakujący mogą włączać lub wyłączać wyskakujące okna.
- CVE-2025-49903Średnie
Wtyczka ZoloBlocks do wersji 2.3.11 włącznie ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność umożliwia nieautoryzowany dostęp do funkcji.
- CVE-2025-60161Średnie
Podatność typu Server-Side Request Forgery (SSRF) we wtyczce bdthemes ZoloBlocks (zoloblocks). Problem dotyczy wersji ZoloBlocks od n/a do <= 2.3.11 włącznie.
Oryginalny opis (angielski, źródło NVD)
The ZoloBlocks plugin for WordPress is vulnerable to Stored Cross-Site Scripting via multiple Gutenberg blocks in versions up to, and including, 2.3.10. This is due to insufficient input sanitization and output escaping on user-supplied attributes within multiple block components including Google Maps markers, Lightbox captions, Image Gallery data attributes, Progress Pie prefix/suffix fields, and Text Path URL fields. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS