CVE-2026-96840

WysokieCVSS 7.2

Opublikowano: 10/10/2026(UTC)Zaktualizowano: 13/10/2026(UTC)Przetłumaczono: 10/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Wtyczka Post Grid Gutenberg Blocks – PostX do WordPressa jest podatna na przechowywane ataki XSS poprzez pole użytkownika display_name. Podatność dotyczy wszystkich wersji do 5.1.0 włącznie.

Ocena ryzyka

Użytkownik z rolą Subscriber może przechowywać cudzysłów w polu display_name, co umożliwia wstrzyknięcie skryptów, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę, co może prowadzić do kradzieży danych lub przejęcia sesji.

Rekomendacja

Zaleca się aktualizację wtyczki PostX do najnowszej wersji, która zawiera poprawkę bezpieczeństwa.

Inne podatności w Post Grid Gutenberg Blocks – PostX

CVE-2026-15100Średnie
Wtyczka Post Grid Gutenberg Blocks – PostX dla WordPressa do wersji 5.0.32 włącznie jest podatna na przechowywany atak XSS przez atrybut bloku 'searchnoresult'. Brak odpowiedniego oczyszczania danych wejściowych i wyjściowych umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów, które wykonają się przy podglądzie strony przez redaktora lub administratora.

Oryginalny opis (angielski, źródło NVD)

The Post Grid Gutenberg Blocks – PostX plugin for WordPress is vulnerable to Stored Cross-Site Scripting via display_name User Field in all versions up to, and including, 5.1.0 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. WordPress core's pre_user_display_name filter encodes &, <, and > but leaves double-quotes intact (ENT_NOQUOTES), allowing a Subscriber-level user to store a double-quote in their display_name via /wp-admin/profile.php that subsequently breaks out of the alt="" attribute at Archive_Title.php:144.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS