CVE-2026-109936
NieznaneStreszczenie
Wtyczka WordPress Otter Blocks przed wersją 3.2.8 nieprawidłowo ogranicza wzorzec używany do przepisywania tokenów dynamicznej zawartości podczas renderowania bloków, przez co wzorzec może pochłonąć cudzysłów zamykający atrybut HTML i wciągnąć sąsiednie nieescapowane dane do znaczników jako nowe atrybuty. Pozwala to nieuwierzytelnionym użytkownikom na trwały Cross-Site Scripting, który wykonuje się w przeglądarce każdego odwiedzającego dotkniętą stronę, w tym zalogowanego administratora.
Ocena ryzyka
Nieuwierzytelniony atakujący może wstrzyknąć trwały skrypt wykonujący się u wszystkich odwiedzających, w tym administratorów. Może to prowadzić do przejęcia sesji i pełnej kompromitacji witryny.
Rekomendacja
Zaktualizuj wtyczkę Otter Blocks do wersji 3.2.8 lub nowszej. Przejrzyj opublikowane strony pod kątem wstrzykniętego kodu.
Inne podatności w Otter Blocks WordPress plugin
Zobacz wszystkie- CVE-2026-109935Nieznane
Wtyczka WordPress Otter Blocks przed wersją 3.2.8 nie egzekwuje warunków widoczności bloków, gdy opublikowany wpis jest renderowany przez REST API WordPressa. Pozwala to nieuwierzytelnionym użytkownikom czytać treść bloków, którą właściciel witryny ograniczył do określonych ról, zalogowanych użytkowników, autora wpisu, kategorii lub tagów, a w wersji Pro także do nabywców Stripe.
- CVE-2026-109934Nieznane
Wtyczka WordPress Otter Blocks przed wersją 3.2.8 nieprawidłowo ustala, czy wpis jest publicznie czytelny, przed zwróceniem jego danych przez endpoint REST API, traktując każdy wpis o statusie published jako publiczny. Pozwala to nieuwierzytelnionym użytkownikom czytać ręczne zajawki wpisów chronionych hasłem, treść i tytuły niepublicznych typów wpisów, a w witrynach WooCommerce kody kuponów i ich opisy.
- CVE-2026-109937Średnie
Wtyczka WordPress Otter Blocks w wersji przed 3.2.3 nie weryfikuje, czy podany przez użytkownika adres URL powrotu należy do witryny, zanim użyje go do zbudowania miejsca docelowego sesji Stripe Checkout. Umożliwia to nieuwierzytelnionym atakującym przekierowanie ofiar, które ukończą lub anulują płatność, na dowolny zewnętrzny adres URL.
Oryginalny opis (angielski, źródło NVD)
The Otter Blocks WordPress plugin before 3.2.8 does not correctly bound a pattern it uses to rewrite its dynamic-content tokens while rendering blocks, so the pattern can consume the quote that closes an HTML attribute and pull adjacent unescaped data into the markup as new attributes. This allows unauthenticated users to achieve stored Cross-Site Scripting that executes in the browser of any visitor who views an affected page, including a logged-in administrator.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS