CVE-2026-5924

ŚrednieCVSS 6.4

Opublikowano: 23/09/2026(UTC)Zaktualizowano: 23/09/2026(UTC)Przetłumaczono: 23/09/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.35%

Percentyl 29 - wyżej niż 29% wszystkich znanych CVE

Streszczenie

Wtyczka Getwid – Gutenberg Blocks dla WordPress jest podatna na przechowywany Cross-Site Scripting (Stored XSS) poprzez atrybut 'customStyle' bloku Google Maps we wszystkich wersjach do 2.1.3 włącznie. Wynika to z użycia eval() na treści bloku kontrolowanej przez użytkownika w funkcji mapStyles() JavaScript frontendu. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu Contributor i wyższym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika na zainfekowanej stronie.

Ocena ryzyka

Atakujący może wstrzyknąć złośliwe skrypty, które wykonają się w przeglądarkach odwiedzających, co może prowadzić do kradzieży sesji, przekierowań lub innych ataków. Stanowi to poważne zagrożenie dla użytkowników witryny.

Rekomendacja

Zaktualizuj wtyczkę Getwid – Gutenberg Blocks do wersji nowszej niż 2.1.3, która naprawia podatność. Rozważ ograniczenie uprawnień użytkowników oraz wdrożenie polityki bezpieczeństwa treści (CSP).

Inne podatności w Getwid – Gutenberg Blocks

CVE-2026-91862Średnie
Wtyczka Getwid – Gutenberg Blocks dla WordPressa jest podatna na przechowywany atak XSS poprzez parametr 'data-image-points' we wszystkich wersjach do 3.0.1 włącznie. Podatność wynika z niewystarczającej sanityzacji i escapowania danych, co pozwala uwierzytelnionym użytkownikom z dostępem na poziomie contributora i wyższym na wstrzyknięcie skryptów.

Oryginalny opis (angielski, źródło NVD)

The Getwid – Gutenberg Blocks plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the Google Maps block's 'customStyle' attribute in all versions up to, and including, 2.1.3. This is due to the use of eval() on user-controlled block content in the frontend JavaScript mapStyles() function. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS