CVE-2026-96256
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka Gutenberg Essential Blocks – Page Builder dla WordPress do wersji 6.4.5 włącznie jest podatna na Stored Cross-Site Scripting (XSS) przez atrybut 'marker' bloku Google Map. Podatność wynika z niedostatecznej sanityzacji wejścia i braku escape'owania wartości tytułu/treści markera, które są przechowywane jako JSON, a następnie dekodowane i konkatenowane bezpośrednio do surowego HTML przez frontendowy skrypt budujący InfoWindow. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyższym wstrzyknięcie dowolnych skryptów na strony, które wykonają się przy każdym dostępie użytkownika do zainfekowanej strony.
Ocena ryzyka
Uwierzytelnieni użytkownicy z niskimi uprawnieniami mogą wstrzykiwać złośliwe skrypty, które wykonają się w przeglądarkach innych użytkowników, co może prowadzić do kradzieży sesji, przejęcia kont lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaktualizuj wtyczkę Gutenberg Essential Blocks do najnowszej wersji, która zawiera poprawki sanityzacji i escape'owania, oraz ogranicz uprawnienia Contributor dla nieufanych użytkowników.
Inne podatności w Gutenberg Essential Blocks
Zobacz wszystkie- CVE-2026-13154Wysokie
Wtyczka Gutenberg Essential Blocks dla WordPressa przed wersją 6.4.0 nie weryfikuje, czy typ wpisu podany przez atakującego jest publicznie widoczny, zanim zapyta o niego w jednej z publicznych tras REST. Pozwala to nieuwierzytelnionym użytkownikom czytać opublikowane wpisy niestandardowych typów wpisów, które strona zarejestrowała jako niepubliczne.
- CVE-2026-13153Wysokie
Wtyczka Gutenberg Essential Blocks dla WordPressa przed wersją 6.4.0 nie ogranicza dostępu do jednej z publicznych tras REST i nadmiernie pobiera niepubliczny wskaźnik sprzedaży WooCommerce do odpowiedzi. Pozwala to nieuwierzytelnionym użytkownikom odczytać całkowitą liczbę sprzedanych sztuk dla dowolnego opublikowanego produktu.
- CVE-2026-10586Wysokie
Wtyczka Gutenberg Essential Blocks dla WordPressa do wersji 6.1.3 włącznie zawiera podatność na fałszowanie żądań po stronie serwera (SSRF) w funkcji `save_ai_generated_image()`. Uwierzytelnieni atakujący z dostępem na poziomie autora lub wyższym mogą wysyłać żądania do dowolnych lokalizacji zewnętrznych i wewnętrznych, co może pozwolić na odczyt i modyfikację danych z usług wewnętrznych.
- CVE-2025-11270Średnie
Wtyczka Gutenberg Essential Blocks – Page Builder dla WordPressa jest podatna na przechowywany atak XSS przez atrybut 'titleTag' we wszystkich wersjach do 5.7.1 włącznie. Problem wynika z niedostatecznej sanityzacji wejścia i braku escapingu wyjścia, co pozwala uwierzytelnionym atakującym z dostępem na poziomie Contributor i wyżej na wstrzyknięcie skryptów.
- CVE-2025-11361Średnie
Wtyczka Gutenberg Essential Blocks – Page Builder for Gutenberg Blocks & Patterns dla WordPressa jest podatna na Server-Side Request Forgery (SSRF) we wszystkich wersjach do 5.7.1 włącznie, poprzez funkcję eb_save_ai_generated_image. Uwierzytelnieni atakujący z dostępem na poziomie autora mogą wysyłać żądania do dowolnych lokalizacji.
Oryginalny opis (angielski, źródło NVD)
The Gutenberg Essential Blocks – Page Builder for Gutenberg Blocks & Patterns plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the Google Map block's 'marker' attribute in versions up to, and including, 6.4.5 This is due to insufficient input sanitization and output escaping on marker title/content values, which are stored as JSON and then decoded and concatenated directly into raw HTML by the frontend script's InfoWindow content builder. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS