CVE-2026-13153
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka Gutenberg Essential Blocks dla WordPressa przed wersją 6.4.0 nie ogranicza dostępu do jednej z publicznych tras REST i nadmiernie pobiera niepubliczny wskaźnik sprzedaży WooCommerce do odpowiedzi. Pozwala to nieuwierzytelnionym użytkownikom odczytać całkowitą liczbę sprzedanych sztuk dla dowolnego opublikowanego produktu.
Ocena ryzyka
Ujawnienie danych sprzedażowych może dać konkurencji wgląd w wyniki finansowe i wpłynąć na strategię biznesową organizacji.
Rekomendacja
Zaktualizuj wtyczkę Gutenberg Essential Blocks do wersji 6.4.0 lub nowszej, która zawiera poprawkę.
Inne podatności w Gutenberg Essential Blocks
Zobacz wszystkie- CVE-2026-13154Wysokie
Wtyczka Gutenberg Essential Blocks dla WordPressa przed wersją 6.4.0 nie weryfikuje, czy typ wpisu podany przez atakującego jest publicznie widoczny, zanim zapyta o niego w jednej z publicznych tras REST. Pozwala to nieuwierzytelnionym użytkownikom czytać opublikowane wpisy niestandardowych typów wpisów, które strona zarejestrowała jako niepubliczne.
- CVE-2026-10586Wysokie
Wtyczka Gutenberg Essential Blocks dla WordPressa do wersji 6.1.3 włącznie zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji `save_ai_generated_image()`. Uwierzytelnieni atakujący z dostępem na poziomie autora lub wyższym mogą wysyłać żądania do dowolnych lokalizacji zewnętrznych i wewnętrznych, co może pozwolić na odczyt i modyfikację danych z usług wewnętrznych.
Oryginalny opis (angielski, źródło NVD)
The Gutenberg Essential Blocks WordPress plugin before 6.4.0 does not restrict access to one of its public REST routes and over-fetches a non-public WooCommerce per-product sales metric into the response, allowing unauthenticated users to read the lifetime number of units sold for any published product.