CVE-2026-75019
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka Cozy Blocks dla WordPressa jest podatna na trwałe ataki typu Cross-Site Scripting (XSS) poprzez atrybut cozyHoverEffect w wersjach do 2.2.16 włącznie. Uwierzytelnieni atakujący z uprawnieniami współautora mogą wstrzyknąć dowolny skrypt, który wykona się przy każdej wizycie na zainfekowanej stronie.
Ocena ryzyka
Ryzyko obejmuje kradzież danych użytkowników, przejęcie sesji oraz rozprzestrzenianie złośliwego oprogramowania.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji oraz ograniczenie uprawnień współautorów do zaufanych osób.
Inne podatności w Cozy Blocks
Zobacz wszystkie- CVE-2026-15393Średnie
Wtyczka Cozy Blocks dla WordPress do wersji 2.2.11 zawiera podatność na Stored Cross-Site Scripting przez atrybut bloku 'postMeta.font.size'. Brak odpowiedniej sanitacji wejścia i eskejpowania wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie contributor i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się przy dostępie do zainfekowanej strony.
- CVE-2026-15950Średnie
Wtyczka Cozy Blocks dla WordPress jest podatna na przechowywane ataki XSS przez atrybut bloku 'layoutCircle.alignment'. Atakujący z dostępem na poziomie współautora mogą wstrzykiwać dowolne skrypty, które wykonają się przy odwiedzeniu strony.
- CVE-2026-15334Średnie
Wtyczka Cozy Blocks dla WordPressa do wersji 2.2.11 zawiera podatność na Stored XSS przez atrybut bloku 'icon.view'. Uwierzytelnieni atakujący z dostępem na poziomie współautora mogą wstrzykiwać dowolne skrypty, które wykonają się przy każdym dostępie do zainfekowanej strony.
- CVE-2026-15333Średnie
Wtyczka Cozy Blocks dla WordPressa do wersji 2.2.11 zawiera podatność na Stored XSS przez atrybut bloku 'cozyCustomFont'. Uwierzytelnieni atakujący z dostępem na poziomie współautora mogą wstrzykiwać dowolne skrypty, które wykonają się przy każdym dostępie do zainfekowanej strony.
Oryginalny opis (angielski, źródło NVD)
The Cozy Blocks – Page Builder for Gutenberg Editor & FSE with 700+ Patterns, 58 Blocks & Templates plugin for WordPress is vulnerable to Stored Cross-Site Scripting via cozyHoverEffect Block Attribute in all versions up to, and including, 2.2.16 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The payload survives wp_kses_post on save because it contains no angle brackets — only a double-quote breakout of the cozyHoverEffect.boxShadow.color attribute value — allowing event-handler injection at the render stage.