CVE-2026-18488

ŚrednieCVSS 6.4

Opublikowano: 01/09/2026(UTC)Zaktualizowano: 01/09/2026(UTC)Przetłumaczono: 01/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.33%

Percentyl 26 - wyżej niż 26% wszystkich znanych CVE

Streszczenie

Wtyczka Blocksy Companion dla WordPressa jest podatna na trwały atak XSS poprzez atrybut bloku 'tagName' (blocksy/dynamic-data) we wszystkich wersjach do 2.1.51 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie autora lub wyższym mogą wstrzyknąć złośliwe skrypty, które wykonają się przy każdej wizycie na zainfekowanej stronie.

Ocena ryzyka

Ryzyko obejmuje kradzież danych użytkowników, przejęcie kont oraz rozprzestrzenianie złośliwego oprogramowania na stronie, co może zaszkodzić reputacji organizacji.

Rekomendacja

Zaleca się aktualizację wtyczki do najnowszej wersji z poprawką. Należy również ograniczyć uprawnienia autorów i regularnie audytować treści pod kątem złośliwego kodu.

Inne podatności w Blocksy Companion

CVE-2026-15158Krytyczne
Wtyczka Blocksy Companion dla WordPressa jest podatna na dowolne przesyłanie plików w wersjach do 2.1.46 włącznie. Podatność wynika z błędnej walidacji rozszerzeń plików w funkcji save_attachments, co pozwala na ominięcie kontroli MIME i przesłanie plików z podwójnym rozszerzeniem, takich jak shell.woff2.php. Atak może prowadzić do zdalnego wykonania kodu, ale wymaga aktywacji premium wersji wtyczki z określonymi rozszerzeniami.

Oryginalny opis (angielski, źródło NVD)

The Blocksy Companion plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'tagName' Block Attribute (blocksy/dynamic-data) in all versions up to, and including, 2.1.51 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with author-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.