CVE-2026-109935
NieznaneStreszczenie
Wtyczka WordPress Otter Blocks przed wersją 3.2.8 nie egzekwuje warunków widoczności bloków, gdy opublikowany wpis jest renderowany przez REST API WordPressa. Pozwala to nieuwierzytelnionym użytkownikom czytać treść bloków, którą właściciel witryny ograniczył do określonych ról, zalogowanych użytkowników, autora wpisu, kategorii lub tagów, a w wersji Pro także do nabywców Stripe.
Ocena ryzyka
Nieuwierzytelniony użytkownik może uzyskać dostęp do treści, która miała być ograniczona, co stanowi wyciek informacji. Może to ujawnić dane przeznaczone tylko dla wybranych odbiorców.
Rekomendacja
Zaktualizuj wtyczkę Otter Blocks do wersji 3.2.8 lub nowszej. Sprawdź, czy treści objęte ograniczeniami nie zostały ujawnione.
Inne podatności w Otter Blocks WordPress plugin
Zobacz wszystkie- CVE-2026-109936Nieznane
Wtyczka WordPress Otter Blocks przed wersją 3.2.8 nieprawidłowo ogranicza wzorzec używany do przepisywania tokenów dynamicznej zawartości podczas renderowania bloków, przez co wzorzec może pochłonąć cudzysłów zamykający atrybut HTML i wciągnąć sąsiednie nieescapowane dane do znaczników jako nowe atrybuty. Pozwala to nieuwierzytelnionym użytkownikom na trwały Cross-Site Scripting, który wykonuje się w przeglądarce każdego odwiedzającego dotkniętą stronę, w tym zalogowanego administratora.
- CVE-2026-109934Nieznane
Wtyczka WordPress Otter Blocks przed wersją 3.2.8 nieprawidłowo ustala, czy wpis jest publicznie czytelny, przed zwróceniem jego danych przez endpoint REST API, traktując każdy wpis o statusie published jako publiczny. Pozwala to nieuwierzytelnionym użytkownikom czytać ręczne zajawki wpisów chronionych hasłem, treść i tytuły niepublicznych typów wpisów, a w witrynach WooCommerce kody kuponów i ich opisy.
- CVE-2026-109937Średnie
Wtyczka WordPress Otter Blocks w wersji przed 3.2.3 nie weryfikuje, czy podany przez użytkownika adres URL powrotu należy do witryny, zanim użyje go do zbudowania miejsca docelowego sesji Stripe Checkout. Umożliwia to nieuwierzytelnionym atakującym przekierowanie ofiar, które ukończą lub anulują płatność, na dowolny zewnętrzny adres URL.
Oryginalny opis (angielski, źródło NVD)
The Otter Blocks WordPress plugin before 3.2.8 does not enforce its block visibility conditions when a published post is rendered through the WordPress REST API, allowing unauthenticated users to read block content that the site owner restricted to specific roles, logged-in users, the post author, categories or tags, or (on the Pro tier) Stripe purchasers.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS