CVE-2026-8981
NiskieCVSS 3.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Podatność w Custom Block Builder WordPress plugin przed wersją 4.3.0 umożliwia administratorom w instalacjach multisite (lub z DISALLOW_UNFILTERED_HTML) wstrzyknięcie dowolnego JavaScriptu, który wykona się dla odwiedzających strony z danym blokiem.
Ocena ryzyka
Ryzyko polega na możliwości wstrzyknięcia złośliwego skryptu, który może kraść dane lub przejmować sesje użytkowników.
Rekomendacja
Zaleca się aktualizację wtyczki Custom Block Builder do wersji 4.3.0 lub nowszej.
Oryginalny opis (angielski, źródło NVD)
The Custom Block Builder WordPress plugin before 4.3.0 does not consistently check the unfiltered_html capability across all paths that write to its block template code fields, allowing administrators on multisite installations (or single-site installs with DISALLOW_UNFILTERED_HTML defined) to inject arbitrary JavaScript that executes for any visitor of pages embedding the affected block.