CVE-2026-13154
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka Gutenberg Essential Blocks dla WordPressa przed wersją 6.4.0 nie weryfikuje, czy typ wpisu podany przez atakującego jest publicznie widoczny, zanim zapyta o niego w jednej z publicznych tras REST. Pozwala to nieuwierzytelnionym użytkownikom czytać opublikowane wpisy niestandardowych typów wpisów, które strona zarejestrowała jako niepubliczne.
Ocena ryzyka
Organizacja może ujawnić treści, które miały pozostać prywatne, co może naruszyć poufność danych lub złamać regulacje dotyczące prywatności.
Rekomendacja
Zaktualizuj wtyczkę Gutenberg Essential Blocks do wersji 6.4.0 lub nowszej, która zawiera poprawkę.
Inne podatności w Gutenberg Essential Blocks
Zobacz wszystkie- CVE-2026-96256Średnie
Wtyczka Gutenberg Essential Blocks – Page Builder dla WordPress do wersji 6.4.5 włącznie jest podatna na Stored Cross-Site Scripting (XSS) przez atrybut 'marker' bloku Google Map. Podatność wynika z niedostatecznej sanityzacji wejścia i braku escape'owania wartości tytułu/treści markera, które są przechowywane jako JSON, a następnie dekodowane i konkatenowane bezpośrednio do surowego HTML przez frontendowy skrypt budujący InfoWindow. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie użytkownika do zainfekowanej strony.
- CVE-2026-13153Wysokie
Wtyczka Gutenberg Essential Blocks dla WordPressa przed wersją 6.4.0 nie ogranicza dostępu do jednej z publicznych tras REST i nadmiernie pobiera niepubliczny wskaźnik sprzedaży WooCommerce do odpowiedzi. Pozwala to nieuwierzytelnionym użytkownikom odczytać całkowitą liczbę sprzedanych sztuk dla dowolnego opublikowanego produktu.
- CVE-2026-10586Wysokie
Wtyczka Gutenberg Essential Blocks dla WordPressa do wersji 6.1.3 włącznie zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji `save_ai_generated_image()`. Uwierzytelnieni atakujący z dostępem na poziomie autora lub wyższym mogą wysyłać żądania do dowolnych lokalizacji zewnętrznych i wewnętrznych, co może pozwolić na odczyt i modyfikację danych z usług wewnętrznych.
- CVE-2025-11270Średnie
Wtyczka Gutenberg Essential Blocks – Page Builder dla WordPressa jest podatna na przechowywany atak XSS przez atrybut 'titleTag' we wszystkich wersjach do 5.7.1 włącznie. Problem wynika z niedostatecznej sanityzacji wejścia i braku escapingu wyjścia, co pozwala uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej na wstrzyknięcie skryptów.
- CVE-2025-11361Średnie
Wtyczka Gutenberg Essential Blocks – Page Builder for Gutenberg Blocks & Patterns dla WordPressa jest podatna na Server-Side Request Forgery (SSRF) we wszystkich wersjach do 5.7.1 włącznie, poprzez funkcję eb_save_ai_generated_image. Uwierzytelnieni atakujący z dostępem na poziomie autora mogą wysyłać żądania do dowolnych lokalizacji.
Oryginalny opis (angielski, źródło NVD)
The Gutenberg Essential Blocks WordPress plugin before 6.4.0 does not verify that an attacker-supplied post type is publicly viewable before querying it in one of its public REST routes, allowing unauthenticated users to read published entries of custom post types that the site registered as non-public.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS