CVE-2026-15100
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka Post Grid Gutenberg Blocks – PostX dla WordPressa do wersji 5.0.32 włącznie jest podatna na przechowywany atak XSS przez atrybut bloku 'searchnoresult'. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się przy podglądzie strony przez redaktora lub administratora.
Ocena ryzyka
Ryzyko polega na możliwości wykonania dowolnego kodu JavaScript w sesji przeglądarki redaktora lub administratora, co może prowadzić do kradzieży sesji, modyfikacji treści lub eskalacji uprawnień.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki PostX do najnowszej wersji oraz ograniczenie uprawnień użytkowników do niezbędnego minimum.
Inne podatności w Post Grid Gutenberg Blocks – PostX
Oryginalny opis (angielski, źródło NVD)
The Post Grid Gutenberg Blocks – PostX plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'searchnoresult' Block Attribute in all versions up to, and including, 5.0.32 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. This is particularly concerning in a cross-privilege scenario where a Contributor creates a pending or draft post containing the malicious block attribute, which then executes arbitrary JavaScript in the browser session of an Editor or Administrator who previews that post.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS