CVE-2026-7465
WysokieCVSS 8.8Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 64 - wyżej niż 64% wszystkich znanych CVE
Streszczenie
Podatność we wtyczce Spectra Gutenberg Blocks dla WordPress do wersji 2.19.25 włącznie, umożliwiająca uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym zdalne wykonanie kodu na serwerze poprzez osadzenie dwóch bloków w treści posta.
Ocena ryzyka
Atakujący z niskimi uprawnieniami może wykonać dowolny kod na serwerze, co prowadzi do pełnego przejęcia kontroli nad witryną WordPress.
Rekomendacja
Zaktualizuj wtyczkę Spectra Gutenberg Blocks do najnowszej wersji zawierającej poprawkę.
Inne podatności w Spectra Gutenberg Blocks
Zobacz wszystkie- CVE-2026-92294Średnie
Wtyczka Spectra Gutenberg Blocks – Website Builder for the Block Editor dla WordPressa w wersjach do 2.20.4 włącznie jest podatna na ograniczone usuwanie plików z powodu niewystarczającej walidacji ścieżki pliku w funkcji '__construct'. Umożliwia to nieuwierzytelnionym atakującym usunięcie plików motywu na serwerze.
- CVE-2026-12900Średnie
Wtyczka Spectra Gutenberg Blocks – Website Builder for the Block Editor dla WordPressa do wersji 2.19.28 włącznie jest podatna na przechowywany Cross-Site Scripting (XSS) poprzez blok `uagb/image`. Podatność wynika z niedostatecznego oczyszczania wejścia i ucieczki wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie Contributor i wyższym mogą wstrzykiwać dowolne skrypty, które wykonają się przy odwiedzeniu strony.
- CVE-2025-11162Średnie
Wtyczka Spectra Gutenberg Blocks dla WordPressa jest podatna na przechowywany XSS poprzez pole Custom CSS we wszystkich wersjach do 2.19.14 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Oryginalny opis (angielski, źródło NVD)
The Spectra Gutenberg Blocks – Website Builder for the Block Editor plugin for WordPress is vulnerable to Remote Code Execution in all versions up to, and including, 2.19.25. This makes it possible for authenticated attackers, with Contributor-level access and above, to execute code on the server. Exploitation requires a two-block payload embedded in post content: the first block registers a fake uagb/-prefixed block type with an attacker-specified render_callback, and the second block of the same fake type triggers invocation of that callback via call_user_func() during sequential block rendering in the same page request.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS