CVE-2026-19698
NiskieCVSS 3.5Streszczenie
Wtyczka GutenKit dla WordPressa przed wersją 2.5.1 nie waliduje ani nie escapuje ustawień stylów zapisanych dla posta przed użyciem ich do budowania CSS wyświetlanego na froncie, umożliwiając użytkownikom z rolą Contributor i wyżej wstrzyknięcie dowolnego CSS do stron serwowanych innym użytkownikom i anonimowym odwiedzającym. Wykonanie JavaScript nie jest możliwe na tej roli, więc wpływ jest ograniczony do defacementu, zmiany wyglądu interfejsu i wymuszania ładowania zewnętrznych zasobów.
Ocena ryzyka
Ryzyko defacementu stron i manipulacji interfejsem, co może wpłynąć na reputację i zaufanie użytkowników.
Rekomendacja
Zaktualizuj wtyczkę GutenKit do wersji 2.5.1 lub nowszej, która zawiera poprawki bezpieczeństwa.
Inne podatności w GutenKit
Zobacz wszystkie- CVE-2026-19699Niskie
Wtyczka GutenKit dla WordPressa przed wersją 2.5.0 nie posiada wystarczającej kontroli uprawnień na niektórych punktach końcowych REST API, co pozwala użytkownikom z rolą Contributor i wyżej na pobieranie metadanych odbiorców list mailingowych z połączonego konta marketingowego.
- CVE-2026-19697Średnie
Wtyczka GutenKit WordPress przed wersją 2.5.0 nie sanityzuje przesłanych plików SVG na wszystkich ścieżkach przesyłania, co pozwala użytkownikom z możliwością przesyłania plików (np. Author) na przesłanie złośliwego SVG i przeprowadzenie ataków Stored Cross-Site Scripting na każdego użytkownika, który go otworzy, w tym administratorów.
Oryginalny opis (angielski, źródło NVD)
The GutenKit WordPress plugin before 2.5.1 does not validate or escape style settings saved against a post before using them to build the CSS it outputs on the front end, allowing users with the Contributor role and above to inject arbitrary CSS into pages served to other users and to anonymous visitors. JavaScript execution is not possible at that role, so the impact is limited to defacement, interface redressing and forcing external resources to load.