CVE-2026-9756
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka GenerateBlocks dla WordPressa jest podatna na trwałe ataki XSS w bloku nagłówka przez atrybut 'linkMetaFieldType'. Luka występuje we wszystkich wersjach do 2.2.1 włącznie z powodu niedostatecznego oczyszczania danych wejściowych i kodowania wyjścia.
Ocena ryzyka
Uwierzytelniony atakujący z dostępem na poziomie współautora może wstrzyknąć dowolny skrypt JavaScript, który wykona się po kliknięciu linku przez administratora, co może prowadzić do przejęcia sesji lub kradzieży danych.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki GenerateBlocks do najnowszej dostępnej wersji oraz ograniczenie uprawnień użytkowników do niezbędnego minimum.
Inne podatności w GenerateBlocks
Zobacz wszystkie- CVE-2026-13458Średnie
Wtyczka GenerateBlocks dla WordPressa jest podatna na przechowywany atak XSS poprzez wstrzykiwanie dynamicznych tagów w atrybutach HTML. Podatność występuje we wszystkich wersjach do 2.3.0 włącznie z powodu niedostatecznego oczyszczania danych wejściowych i braku kodowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzykiwanie dowolnych skryptów webowych na stronach.
- CVE-2025-11879Średnie
Wtyczka GenerateBlocks dla WordPressa w wersjach do 2.1.1 włącznie jest podatna na nieautoryzowany dostęp do danych z powodu braku sprawdzenia uprawnień w funkcji 'get_option_rest'. Uwierzytelniony atakujący z rolą co najmniej współpracownika (contributor) może odczytać dowolne opcje WordPressa, w tym dane uwierzytelniające SMTP, klucze API i inne dane przechowywane przez inne wtyczki.
Oryginalny opis (angielski, źródło NVD)
The GenerateBlocks plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Headline Block 'linkMetaFieldType' Dynamic Link Attribute in all versions up to, and including, 2.2.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. A contributor-level attacker can store a JavaScript payload in their own profile description (allowlisted by get_safe_user_meta_keys()) and prepend 'javascript:' via the linkMetaFieldType attribute, creating a fully attacker-controlled href that executes when any user, including an administrator, clicks the rendered headline link.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS