CVE-2026-65444
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka Blocksy Companion firmy Creative Themes zawiera podatność niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych (Cross-site Scripting), umożliwiającą przechowywany XSS. Problem dotyczy Blocksy Companion w wersjach od n/a do 2.1.60.
Ocena ryzyka
Przechowywany XSS może pozwolić atakującemu na wykonanie dowolnego skryptu w przeglądarce administratora lub użytkownika, co może prowadzić do przejęcia sesji lub wykonania działań w imieniu ofiary.
Rekomendacja
Zaktualizuj wtyczkę Blocksy Companion do wersji nowszej niż 2.1.60. Do czasu aktualizacji ogranicz możliwość wprowadzania treści przez użytkowników o niskich uprawnieniach i monitoruj nietypowe skrypty w treściach.
Inne podatności w Blocksy Companion
Zobacz wszystkie- CVE-2026-97247Średnie
Podatność na nieautoryzowany dostęp (Broken Access Control) w Blocksy Companion w wersjach do 2.1.55, bez wymaganego uwierzytelnienia.
- CVE-2026-107645Krytyczne
Wtyczka Blocksy Companion do wersji 2.1.58 włącznie jest podatna na eskalację uprawnień. Handler AJAX implement_user_registration() wyłącza kontrolę nonce rejestracji Dokan i ufa dostarczonej przez atakującego wartości $_POST['role'], co pozwala nieuwierzytelnionym atakującym na uzyskanie konta sprzedawcy (seller) i automatyczne zalogowanie, nawet gdy rejestracja vendorów jest wyłączona.
- CVE-2026-15158Krytyczne
Wtyczka Blocksy Companion dla WordPressa jest podatna na dowolne przesyłanie plików w wersjach do 2.1.46 włącznie. Podatność wynika z błędnej walidacji rozszerzeń plików w funkcji save_attachments, co pozwala na ominięcie kontroli MIME i przesłanie plików z podwójnym rozszerzeniem, takich jak shell.woff2.php. Atak może prowadzić do zdalnego wykonania kodu, ale wymaga aktywacji premium wersji wtyczki z określonymi rozszerzeniami.
- CVE-2026-18488Średnie
Wtyczka Blocksy Companion dla WordPressa jest podatna na trwały atak XSS poprzez atrybut bloku 'tagName' (blocksy/dynamic-data) we wszystkich wersjach do 2.1.51 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie autora lub wyższym mogą wstrzyknąć złośliwe skrypty, które wykonają się przy każdej wizycie na zainfekowanej stronie.
- CVE-2025-12475Średnie
Wtyczka Blocksy Companion dla WordPressa (do wersji 2.1.14) jest podatna na przechowywany XSS przez shortcode 'blocksy_newsletter_subscribe' z powodu niewystarczającej sanityzacji i braku escape'owania atrybutów.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Creative Themes Blocksy Companion blocksy-companion allows Stored XSS.This issue affects Blocksy Companion: from n/a through 2.1.60.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS