CVE-2026-19943
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka Gutenverse – WordPress Blocks, Page Builder & Site Editor dla WordPressa jest podatna na Stored Cross-Site Scripting przez atrybut bloku 'titleTag' we wszystkich wersjach do 4.0.2 włącznie z powodu niedostatecznej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Złośliwa wartość titleTag przetrwa wp_kses_post przy zapisie, ponieważ jest przechowywana wewnątrz ogranicznika komentarza bloku, a żywy HTML jest syntetyzowany dopiero w czasie renderowania przez do_blocks(), co oznacza, że payload działa również w sesjach administratora i edytora podczas podglądu wpisu.
Ocena ryzyka
Ryzyko obejmuje wykonanie złośliwych skryptów w sesjach administratorów i edytorów, co może prowadzić do przejęcia kont i pełnej kompromitacji witryny.
Rekomendacja
Zaleca się aktualizację wtyczki Gutenverse do najnowszej wersji oraz ograniczenie uprawnień do tworzenia treści tylko dla zaufanych użytkowników.
Inne podatności w Gutenverse
Zobacz wszystkie- CVE-2026-3002Średnie
Wtyczka Gutenverse – Ultimate WordPress FSE Blocks Addons & Ecosystem dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) w wielu blokach we wszystkich wersjach do 4.0.2 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-12399Średnie
Wtyczka Gutenverse dla WordPressa jest podatna na trwałe ataki XSS poprzez ustawienia administratora. Luka występuje we wszystkich wersjach do 3.8.0 włącznie z powodu niewystarczającego oczyszczania danych wejściowych i wyjściowych.
- CVE-2026-2924Średnie
Wtyczka Gutenverse dla WordPressa do wersji 3.4.6 zawiera podatność na przechowywany XSS przez parametr 'imageLoad'. Brak odpowiedniej sanityzacji wejścia i ucieczki wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnych skryptów webowych.
Oryginalny opis (angielski, źródło NVD)
The Gutenverse – WordPress Blocks, Page Builder & Site Editor plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'titleTag' Block Attribute in all versions up to, and including, 4.0.2 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The malicious titleTag value survives wp_kses_post on save because it is stored inside a block-comment delimiter and the live HTML is only synthesized at render time by do_blocks(), meaning the payload also fires in administrator and editor sessions during post preview.