CVE-2026-6740
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 5 - wyżej niż 5% wszystkich znanych CVE
Streszczenie
Wtyczka Nexter Blocks dla WordPressa do wersji 4.7.4 włącznie zawiera podatność na przechowywany atak XSS przez parametr 'commentIcon'. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora lub wyższym wstrzyknięcie dowolnego skryptu, który wykona się przy każdym dostępie do zainfekowanej strony.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwy kod JavaScript, co prowadzi do kradzieży sesji, przekierowań na złośliwe strony lub defacementu witryny, zagrażając bezpieczeństwu odwiedzających i reputacji organizacji.
Rekomendacja
Niezwłocznie zaktualizuj wtyczkę Nexter Blocks do najnowszej dostępnej wersji, która usuwa tę podatność. Jeśli aktualizacja nie jest dostępna, tymczasowo wyłącz wtyczkę lub ogranicz uprawnienia użytkowników do poziomu poniżej współautora.
Inne podatności w Nexter Blocks
Zobacz wszystkie- CVE-2025-15678Średnie
Wtyczka Nexter Blocks dla WordPressa przed wersją 5.0.2 nie sanityzuje przesyłanych plików SVG i zezwala na przesyłanie SVG każdemu użytkownikowi, który może przesyłać pliki (domyślnie Autor). Pozwala to na przesłanie pliku zawierającego złośliwy JavaScript, który wykonuje się przy dostępie do pliku, prowadząc do Stored Cross-Site Scripting.
- CVE-2026-15420Średnie
Wtyczka Nexter Blocks dla WordPressa w wersjach do 5.0.0 zawiera podatność na przechodzenie po katalogach przez parametr 'plus_name'. Uwierzytelnieni atakujący z dostępem na poziomie subskrybenta lub wyższym mogą usuwać dowolne pliki JS/CSS na serwerze.
- CVE-2026-39516Średnie
Wtyczka Nexter Blocks dla WordPressa ujawnia wrażliwe dane systemowe nieautoryzowanym podmiotom. Podatność pozwala na odczytanie osadzonych danych wrażliwych.
Oryginalny opis (angielski, źródło NVD)
The Nexter Blocks – Gutenberg Blocks, Page Builder & AI Website Builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'commentIcon' parameter in all versions up to, and including, 4.7.4 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.