CVE-2026-7465

WysokieCVSS 8.8

Opublikowano: 30/05/2026(UTC)Zaktualizowano: 22/07/2026(UTC)Przetłumaczono: 23/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Podwyższone ryzyko

1.17%

Percentyl 64 - wyżej niż 64% wszystkich znanych CVE

Streszczenie

Podatność we wtyczce Spectra Gutenberg Blocks dla WordPress do wersji 2.19.25 włącznie, umożliwiająca uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym zdalne wykonanie kodu na serwerze poprzez osadzenie dwóch bloków w treści posta.

Ocena ryzyka

Atakujący z niskimi uprawnieniami może wykonać dowolny kod na serwerze, co prowadzi do pełnego przejęcia kontroli nad witryną WordPress.

Rekomendacja

Zaktualizuj wtyczkę Spectra Gutenberg Blocks do najnowszej wersji zawierającej poprawkę.

Inne podatności w Spectra Gutenberg Blocks

CVE-2026-12900Średnie
Wtyczka Spectra Gutenberg Blocks – Website Builder for the Block Editor dla WordPressa do wersji 2.19.28 włącznie jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez blok `uagb/image`. Podatność wynika z niedostatecznego oczyszczania wejścia i ucieczki wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie Contributor i wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się przy odwiedzeniu strony.

Oryginalny opis (angielski, źródło NVD)

The Spectra Gutenberg Blocks – Website Builder for the Block Editor plugin for WordPress is vulnerable to Remote Code Execution in all versions up to, and including, 2.19.25. This makes it possible for authenticated attackers, with Contributor-level access and above, to execute code on the server. Exploitation requires a two-block payload embedded in post content: the first block registers a fake uagb/-prefixed block type with an attacker-specified render_callback, and the second block of the same fake type triggers invocation of that callback via call_user_func() during sequential block rendering in the same page request.