CVE-2026-78290
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Magazine Blocks w wersjach do 1.8.6 ma podatność na Cross Site Scripting (XSS) z uprawnieniami Współautora (Contributor).
Ocena ryzyka
Atakujący z uprawnieniami współautora może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce innych użytkowników, co może prowadzić do kradzieży sesji lub innych szkodliwych działań.
Rekomendacja
Należy zaktualizować wtyczkę Magazine Blocks do wersji zawierającej poprawkę oraz ograniczyć uprawnienia współautorów.
Inne podatności w Magazine Blocks
Zobacz wszystkie- CVE-2026-75017Średnie
Wtyczka Magazine Blocks dla WordPressa w wersjach do 1.8.6 włącznie jest podatna na obejście autoryzacji z powodu nieprawidłowej weryfikacji uprawnień użytkownika. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może zdegradować opublikowane szablony builderów należące do administratora do statusu szkicu i zastąpić je własną treścią bloków renderowaną w całym serwisie.
- CVE-2026-75016Średnie
Wtyczka Magazine Blocks dla WordPressa w wersjach do 1.8.6 włącznie jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez atrybut clientId bloku News Ticker. Wynika to z niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych w metodzie NewsTicker::render(), która łączy atrybut clientId z atrybutem klasy HTML bez użycia esc_attr().
- CVE-2026-40728Średnie
Brak autoryzacji w wtyczce Magazine Blocks firmy BlockArt w wersjach do 1.8.3 pozwala na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
Contributor Cross Site Scripting (XSS) in Magazine Blocks <= 1.8.6 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS