CVE-2026-104762
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 11 - wyżej niż 11% wszystkich znanych CVE
Streszczenie
Wtyczka Kadence Blocks dla WordPressa do wersji 3.7.12 włącznie jest podatna na przechowywany atak XSS poprzez atrybut Block Font Family. Atak wymaga włączenia opcji "Load Google Fonts Locally", co nie jest domyślną konfiguracją.
Ocena ryzyka
Uwierzytelnieni atakujący z dostępem autora mogą wstrzyknąć złośliwe skrypty, które wykonają się dla innych użytkowników odwiedzających zainfekowane strony, co może prowadzić do kradzieży danych lub przejęcia sesji.
Rekomendacja
Zaktualizuj wtyczkę Kadence Blocks do najnowszej wersji. Jeśli nie jest wymagana, wyłącz opcję "Load Google Fonts Locally".
Inne podatności w Kadence Blocks
Zobacz wszystkie- CVE-2026-105890Średnie
Podatność na trwały XSS w pluginie Gutenberg Blocks by Kadence Blocks (wersje do 3.7.12) spowodowana brakiem neutralizacji danych wejściowych podczas generowania strony.
- CVE-2026-66696Średnie
Podatność na ujawnienie wrażliwych danych (Sensitive Data Exposure) z poziomu kontrybutora wtyczki Gutenberg Blocks by Kadence Blocks (wersje do 3.7.8) pozwala użytkownikowi z rolą kontrybutora na uzyskanie dostępu do wrażliwych danych, które nie powinny być dla niego dostępne.
- CVE-2026-18062Średnie
Wtyczka Kadence Blocks dla WordPressa do wersji 3.7.8.1 zawiera podatność na Stored Cross-Site Scripting (XSS) w bloku Identity Block Inner Image Content. Wynika to z niedostatecznego oczyszczania danych wejściowych i braku odpowiedniego kodowania wyjścia, co pozwala uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym na wstrzyknięcie dowolnych skryptów webowych.
- CVE-2026-12904Średnie
Wtyczka Kadence Blocks dla WordPressa do wersji 3.7.7 zawiera podatność na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR). Mechanizm autoryzacji sprawdza uprawnienia na podstawie identyfikatora posta (post_id) podanego przez użytkownika, ale operacje odczytu i usuwania rekordów analizy optymalizatora są wykonywane na podstawie skrótu ścieżki pliku (post_path), który może być dowolnie zmieniony przez atakującego. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Współautora lub wyższym odczytywanie lub usuwanie rekordów analizy należących do postów innych użytkowników.
- CVE-2026-12902Średnie
Wtyczka Kadence Blocks dla WordPressa do wersji 3.7.7 włącznie nieprawidłowo weryfikuje uprawnienia użytkownika, co pozwala uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym na tworzenie dowolnych załączników w bibliotece multimediów. Atakujący może zdalnie pobrać obrazy do katalogu uploads, omijając ograniczenia związane z uprawnieniem upload_files.
- CVE-2026-2826Średnie
Wtyczka Kadence Blocks dla WordPressa do wersji 3.6.3 włącznie ma lukę w punkcie REST API process_pattern, która nie sprawdza poprawnie uprawnienia upload_files. Uwierzytelniony atakujący z dostępem na poziomie contributora i wyższym może przesyłać obrazy do biblioteki multimediów, podając zdalne URL-e obrazów.
Oryginalny opis (angielski, źródło NVD)
The Kadence Blocks — Page Builder Toolkit for Gutenberg Editor plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Block Font Family Attribute in all versions up to, and including, 3.7.12 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with author-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This encoding bypass is only triggered when the "Load Google Fonts Locally" site option (kadence_blocks_font_settings['load_fonts_local']) is enabled, which is not the default configuration.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS