CVE-2025-64383
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 4 - wyżej niż 4% wszystkich znanych CVE
Streszczenie
Podatność typu Stored Cross-Site Scripting (XSS) w Qi Blocks (wersje do 1.4.3). Umożliwia atakującemu wstrzyknięcie trwałego skryptu, który wykona się w przeglądarce ofiary.
Ocena ryzyka
Ryzyko kradzieży sesji, przejęcia konta lub wykonania nieautoryzowanych działań w imieniu ofiary.
Rekomendacja
Zaktualizuj Qi Blocks do najnowszej dostępnej wersji, która zawiera poprawki XSS.
Inne podatności w Qi Blocks
Zobacz wszystkie- CVE-2026-10096Średnie
Wtyczka Qi Blocks dla WordPressa jest podatna na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w wersjach do 1.4.9 włącznie. Brak walidacji parametru 'page_id' umożliwia uwierzytelnionym atakującym z dostępem autora i wyższym modyfikację stylów Qi Blocks w dowolnych postach, szablonach lub widgetach, których nie są właścicielami, w tym na powierzchniach ogólnoserwisowych poprzez zarezerwowane wartości 'template' i 'widget'.
- CVE-2025-12180Średnie
Wtyczka Qi Blocks dla WordPressa jest podatna na brak autoryzacji we wszystkich wersjach do 1.4.3 włącznie. Wtyczka przechowuje dowolne style CSS przesłane przez endpoint REST API `qi-blocks/v1/update-styles` bez odpowiedniej sanityzacji w funkcji `update_global_styles_callback()`. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolny CSS, co może służyć do ukrywania treści, nakładania fałszywych elementów interfejsu lub eksfiltracji danych.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Qode Qi Blocks qi-blocks allows Stored XSS.This issue affects Qi Blocks: from n/a through <= 1.4.3.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS