CVE-2026-18435

ŚrednieCVSS 6.4

Opublikowano: 01/08/2026(UTC)Zaktualizowano: 12/08/2026(UTC)Przetłumaczono: 01/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Wtyczka Kadence Blocks — Page Builder Toolkit for Gutenberg Editor dla WordPressa jest podatna na przechowywany atak XSS przez atrybut bloku 'toggleIcon'. Uwierzytelnieni atakujący z dostępem współautora mogą wstrzykiwać dowolne skrypty, które wykonają się przy dostępie do strony.

Ocena ryzyka

Atakujący może wykraść dane sesji użytkowników lub wykonać inne złośliwe działania w kontekście witryny.

Rekomendacja

Zaktualizuj wtyczkę Kadence Blocks do wersji, która poprawia sanityzację i eskejpowanie danych wyjściowych.

Inne podatności w Kadence Blocks — Page Builder Toolkit for Gutenberg Editor

CVE-2026-11357Średnie
Wtyczka Kadence Blocks — Page Builder Toolkit dla edytora Gutenberg w WordPressie jest podatna na ujawnienie wrażliwych informacji we wszystkich wersjach do 3.7.5 włącznie. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współtwórcy i wyżej wydobycie klucza licencyjnego, adresu e-mail właściciela licencji oraz innych wrażliwych danych z konsoli przeglądarki.

Oryginalny opis (angielski, źródło NVD)

The Kadence Blocks — Page Builder Toolkit for Gutenberg Editor plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'toggleIcon' Block Attribute in all versions up to, and including, 3.7.8 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS