CVE-2026-97247
ŚrednieCVSS 6.5Streszczenie
Podatność na nieautoryzowany dostęp (Broken Access Control) w Blocksy Companion w wersjach do 2.1.55, bez wymaganego uwierzytelnienia.
Ocena ryzyka
Osoba nieuwierzytelniona może uzyskać nieautoryzowany dostęp do funkcji administracyjnych, co może prowadzić do naruszenia integralności systemu.
Rekomendacja
Zaktualizuj Blocksy Companion do najnowszej wersji z poprawką.
Inne podatności w Blocksy Companion
Zobacz wszystkie- CVE-2026-15158Krytyczne
Wtyczka Blocksy Companion dla WordPressa jest podatna na dowolne przesyłanie plików w wersjach do 2.1.46 włącznie. Podatność wynika z błędnej walidacji rozszerzeń plików w funkcji save_attachments, co pozwala na ominięcie kontroli MIME i przesłanie plików z podwójnym rozszerzeniem, takich jak shell.woff2.php. Atak może prowadzić do zdalnego wykonania kodu, ale wymaga aktywacji premium wersji wtyczki z określonymi rozszerzeniami.
- CVE-2026-18488Średnie
Wtyczka Blocksy Companion dla WordPressa jest podatna na trwały atak XSS poprzez atrybut bloku 'tagName' (blocksy/dynamic-data) we wszystkich wersjach do 2.1.51 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie autora lub wyższym mogą wstrzyknąć złośliwe skrypty, które wykonają się przy każdej wizycie na zainfekowanej stronie.
Oryginalny opis (angielski, źródło NVD)
Unauthenticated Broken Access Control in Blocksy Companion <= 2.1.55 versions.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS