CVE-2026-10096
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka Qi Blocks dla WordPressa jest podatna na niebezpieczne bezpośrednie odwołanie do obiektu (IDOR) w wersjach do 1.4.9 włącznie. Brak walidacji parametru 'page_id' umożliwia uwierzytelnionym atakującym z dostępem autora i wyższym modyfikację stylów Qi Blocks w dowolnych postach, szablonach lub widgetach, których nie są właścicielami, w tym na powierzchniach ogólnoserwisowych poprzez zarezerwowane wartości 'template' i 'widget'.
Ocena ryzyka
Ryzyko obejmuje nieautoryzowane modyfikacje wyglądu stron, ukrywanie treści oraz degradację dowolnej strony w witrynie, co może prowadzić do defacementu i utraty zaufania użytkowników.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki Qi Blocks do najnowszej wersji, która usuwa tę podatność, oraz weryfikację uprawnień użytkowników z rolą autora.
Inne podatności w Qi Blocks
Zobacz wszystkie- CVE-2025-64383Średnie
Podatność typu Stored Cross-Site Scripting (XSS) w Qi Blocks (wersje do 1.4.3). Umożliwia atakującemu wstrzyknięcie trwałego skryptu, który wykona się w przeglądarce ofiary.
- CVE-2025-12180Średnie
Wtyczka Qi Blocks dla WordPressa jest podatna na brak autoryzacji we wszystkich wersjach do 1.4.3 włącznie. Wtyczka przechowuje dowolne style CSS przesłane przez endpoint REST API `qi-blocks/v1/update-styles` bez odpowiedniej sanityzacji w funkcji `update_global_styles_callback()`. Uwierzytelniony atakujący z uprawnieniami Contributor lub wyższymi może wstrzyknąć dowolny CSS, co może służyć do ukrywania treści, nakładania fałszywych elementów interfejsu lub eksfiltracji danych.
Oryginalny opis (angielski, źródło NVD)
The Qi Blocks plugin for WordPress is vulnerable to Insecure Direct Object Reference in all versions up to, and including, 1.4.9 via the 'page_id' parameter due to missing validation on a user controlled key. This makes it possible for authenticated attackers, with author-level access and above, to modify the stored Qi Blocks styles of arbitrary posts, templates, or widgets they do not own — including site-wide surfaces via the reserved 'template' and 'widget' page_id values — enabling unauthorized frontend defacement, content hiding, and degradation of any page on the site. The endpoint's permission_callback checks only the generic edit_posts and publish_posts capabilities, meaning any user with the built-in Author role satisfies the check regardless of post ownership.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS