CVE-2026-17011
NiskieCVSS 3.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 2 - wyżej niż 2% wszystkich znanych CVE
Streszczenie
Wtyczka Nexter Blocks WordPress przed wersją 5.0.2 nie ogranicza, kto może zapisywać globalny CSS przez jeden z jej punktów końcowych REST, co pozwala użytkownikom z rolą co najmniej Contributor na przechowywanie dowolnego CSS, który jest renderowany w całej witrynie na froncie, umożliwiając defacement, ukrywanie treści i manipulację interfejsem.
Ocena ryzyka
Ryzyko obejmuje możliwość zniekształcenia wyglądu witryny, ukrycia treści lub przeprowadzenia ataków typu UI redressing przez użytkowników z niskimi uprawnieniami, co może zaszkodzić reputacji i zaufaniu użytkowników.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Nexter Blocks do wersji 5.0.2 lub nowszej, która zawiera poprawkę zabezpieczającą.
Oryginalny opis (angielski, źródło NVD)
The Nexter Blocks WordPress plugin before 5.0.2 does not restrict who can save global CSS through one of its REST endpoints, allowing users with at least the Contributor role to store arbitrary CSS that is rendered site-wide on the front end, enabling defacement, content hiding, and UI redressing.