CVE-2026-109933
NieznaneStreszczenie
Wtyczka WordPress Otter Blocks w wersji przed 3.2.8 nieprawidłowo oczyszcza i escapuje wartości stylów bloków dostarczane przez użytkownika przed zapisaniem ich do wbudowanego arkusza stylów. Umożliwia to użytkownikom z uprawnieniami contributor i wyższymi wstrzyknięcie dowolnych skryptów internetowych, które wykonują się, gdy dowolny odwiedzający, w tym administratorzy, wyświetli dotknięty wpis.
Ocena ryzyka
Podatność typu stored XSS pozwala użytkownikom z niskimi uprawnieniami (contributor) na wykonanie dowolnego kodu JavaScript w przeglądarce administratorów i innych odwiedzających. Może to prowadzić do przejęcia sesji administratora, kradzieży danych lub dalszej eskalacji uprawnień w witrynie WordPress.
Rekomendacja
Zaktualizuj wtyczkę Otter Blocks do wersji 3.2.8 lub nowszej. Do czasu aktualizacji ogranicz liczbę użytkowników z uprawnieniami contributor i wyższymi oraz rozważ wyłączenie wtyczki.
Inne podatności w Otter Blocks
Zobacz wszystkie- CVE-2026-102002Niskie
Wtyczka Otter Blocks dla WordPressa jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 3.2.6 włącznie przez parametr 'otter_form_widget_filter'. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie subskrybenta i wyższym wyodrębnienie adresów e-mail pięciu ostatnich osób przesyłających formularze, dat ich przesłania oraz całkowitej liczby przesłanych formularzy na stronie.
- CVE-2026-4945Średnie
Wtyczka Otter Blocks dla WordPressa, we wszystkich wersjach do 3.1.7 włącznie, jest podatna na niebezpieczne bezpośrednie odwołania do obiektów (IDOR) w funkcji 'watch_checkout' z powodu braku walidacji klucza kontrolowanego przez użytkownika. Umożliwia to nieuwierzytelnionym atakującym zapłatę za produkt o niższej cenie, podczas gdy uzyskują uprawnienia do produktu premium, manipulując parametrem product_id niezależnie od price_id w adresie URL płatności Stripe.
Oryginalny opis (angielski, źródło NVD)
The Otter Blocks WordPress plugin before 3.2.8 does not properly sanitize and escape user-supplied block styling values before writing them into an inline stylesheet, allowing users with contributor-level access and above to inject arbitrary web scripts that execute when any visitor, including administrators, views the affected post.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS