CVE-2026-75017
ŚrednieCVSS 4.3Streszczenie
Wtyczka Magazine Blocks dla WordPressa w wersjach do 1.8.6 włącznie jest podatna na obejście autoryzacji z powodu nieprawidłowej weryfikacji uprawnień użytkownika. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może zdegradować opublikowane szablony builderów należące do administratora do statusu szkicu i zastąpić je własną treścią bloków renderowaną w całym serwisie.
Ocena ryzyka
Możliwe jest zniekształcenie wyglądu strony (defacement), tworzenie stron phishingowych oraz spam SEO, co może zaszkodzić reputacji i bezpieczeństwu organizacji.
Rekomendacja
Zaktualizuj wtyczkę Magazine Blocks do wersji nowszej niż 1.8.6 oraz ogranicz uprawnienia użytkownikom Contributor.
Inne podatności w Magazine Blocks
Zobacz wszystkie- CVE-2026-75016Średnie
Wtyczka Magazine Blocks dla WordPressa w wersjach do 1.8.6 włącznie jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez atrybut clientId bloku News Ticker. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych w metodzie NewsTicker::render(), która łączy atrybut clientId z atrybutem klasy HTML bez użycia esc_attr().
- CVE-2026-78290Średnie
Magazine Blocks w wersjach do 1.8.6 ma podatność na Cross Site Scripting (XSS) z uprawnieniami Współautora (Contributor).
Oryginalny opis (angielski, źródło NVD)
The Magazine Blocks – Blog Designer, Magazine & Newspaper Website Builder, Page Builder with Posts Blocks, Post Grid plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 1.8.6. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with contributor-level access and above, to demote administrator-owned published builder templates (header, footer, front page, single, archive, 404, and search) to draft status and replace them with attacker-authored block content rendered site-wide, enabling defacement, phishing, and SEO spam. This is possible because the mzb-builder-template post type is registered with capability_type='post' and exposed via the REST API, and the _mzb_template meta key is accessible to any user with edit_posts capability, meaning Contributor-level users and above can trigger the vulnerable save_post() hook.