CVE-2026-40728
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Brak autoryzacji w wtyczce Magazine Blocks firmy BlockArt w wersjach do 1.8.3 pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.
Ocena ryzyka
Atakujący może uzyskać dostęp do funkcji lub danych, do których nie powinien mieć uprawnień, co może prowadzić do nieautoryzowanych zmian.
Rekomendacja
Zaktualizuj wtyczkę Magazine Blocks do wersji nowszej niż 1.8.3.
Inne podatności w Magazine Blocks
Zobacz wszystkie- CVE-2026-75017Średnie
Wtyczka Magazine Blocks dla WordPressa w wersjach do 1.8.6 włącznie jest podatna na obejście autoryzacji z powodu nieprawidłowej weryfikacji uprawnień użytkownika. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może zdegradować opublikowane szablony builderów należące do administratora do statusu szkicu i zastąpić je własną treścią bloków renderowaną w całym serwisie.
- CVE-2026-75016Średnie
Wtyczka Magazine Blocks dla WordPressa w wersjach do 1.8.6 włącznie jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez atrybut clientId bloku News Ticker. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych w metodzie NewsTicker::render(), która łączy atrybut clientId z atrybutem klasy HTML bez użycia esc_attr().
- CVE-2026-78290Średnie
Magazine Blocks w wersjach do 1.8.6 ma podatność na Cross Site Scripting (XSS) z uprawnieniami Współautora (Contributor).
Oryginalny opis (angielski, źródło NVD)
Missing Authorization vulnerability in BlockArt Magazine Blocks magazine-blocks allows Exploiting Incorrectly Configured Access Control Security Levels.This issue affects Magazine Blocks: from n/a through <= 1.8.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS