CVE-2026-91862

ŚrednieCVSS 6.4

Opublikowano: 10/10/2026(UTC)Zaktualizowano: 13/10/2026(UTC)Przetłumaczono: 10/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.16%

Percentyl 4 - wyżej niż 4% wszystkich znanych CVE

Streszczenie

Wtyczka Getwid – Gutenberg Blocks dla WordPressa jest podatna na przechowywany atak XSS poprzez parametr 'data-image-points' we wszystkich wersjach do 3.0.1 włącznie. Podatność wynika z niewystarczającej sanityzacji i escapowania danych, co pozwala uwierzytelnionym użytkownikom z dostępem na poziomie contributora i wyższym na wstrzyknięcie skryptów.

Ocena ryzyka

Atakujący mogą wstrzyknąć złośliwe skrypty, które wykonają się u użytkowników odwiedzających zainfekowane strony, co może prowadzić do kradzieży danych lub przejęcia sesji.

Rekomendacja

Zaleca się aktualizację wtyczki do najnowszej wersji z poprawkami. Należy również ograniczyć uprawnienia użytkowników i regularnie audytować treści.

Inne podatności w Getwid – Gutenberg Blocks

CVE-2026-5924Średnie
Wtyczka Getwid – Gutenberg Blocks dla WordPress jest podatna na przechowywany Cross-Site Scripting (Stored XSS) poprzez atrybut 'customStyle' bloku Google Maps we wszystkich wersjach do 2.1.3 włącznie. Wynika to z użycia eval() na treści bloku kontrolowanej przez użytkownika w funkcji mapStyles() JavaScript frontendu. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu Contributor i wyższym wstrzyknięcie dowolnych skryptów internetowych do stron, które wykonają się przy każdej wizycie użytkownika na zainfekowanej stronie.

Oryginalny opis (angielski, źródło NVD)

The Getwid – Gutenberg Blocks plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'data-image-points' parameter in all versions up to, and including, 3.0.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS