CVE-2026-75016
ŚrednieCVSS 6.4Streszczenie
Wtyczka Magazine Blocks dla WordPressa w wersjach do 1.8.6 włącznie jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez atrybut clientId bloku News Ticker. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych w metodzie NewsTicker::render(), która łączy atrybut clientId z atrybutem klasy HTML bez użycia esc_attr().
Ocena ryzyka
Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolne skrypty do stron, które wykonają się u każdego użytkownika odwiedzającego zainfekowaną stronę, co może prowadzić do kradzieży sesji lub innych działań w przeglądarce ofiary.
Rekomendacja
Zaktualizuj wtyczkę Magazine Blocks do wersji nowszej niż 1.8.6.
Inne podatności w Magazine Blocks
Zobacz wszystkie- CVE-2026-75017Średnie
Wtyczka Magazine Blocks dla WordPressa w wersjach do 1.8.6 włącznie jest podatna na obejście autoryzacji z powodu nieprawidłowej weryfikacji uprawnień użytkownika. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może zdegradować opublikowane szablony builderów należące do administratora do statusu szkicu i zastąpić je własną treścią bloków renderowaną w całym serwisie.
- CVE-2026-78290Średnie
Magazine Blocks w wersjach do 1.8.6 ma podatność na Cross Site Scripting (XSS) z uprawnieniami Współautora (Contributor).
Oryginalny opis (angielski, źródło NVD)
The Magazine Blocks plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the News Ticker block's clientId attribute in versions up to, and including, 1.8.6. This is due to insufficient input sanitization and output escaping in the NewsTicker::render() method, which concatenates the clientId block attribute into an HTML class attribute without applying esc_attr(). This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.