CVE-2026-109975

ŚrednieCVSS 6.4

Opublikowano: 28/10/2026(UTC)Zaktualizowano: 29/10/2026(UTC)Przetłumaczono: 28/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 10 - wyżej niż 10% wszystkich znanych CVE

Streszczenie

Wtyczka Cozy Blocks dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'content (block attribute icon.view / icon.layout / icon.gap)' w wersjach do 2.2.27 włącznie, z powodu niewystarczającej sanityzacji i ucieczki danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej Contributor może wstrzyknąć dowolne skrypty, które wykonają się przy odwiedzeniu strony. Mimo zastosowania wp_kses_post przy zapisie, nie neutralizuje on ładunku opartego wyłącznie na cudzysłowach bez znaku '<', pozostawiając komentarz bloku i jego zdekodowane atrybuty JSON podatne na wykorzystanie przy renderowaniu.

Ocena ryzyka

Atakujący z uprawnieniami Contributor może wykonać dowolny JavaScript w przeglądarce użytkowników, co grozi kradzieżą sesji lub modyfikacją treści witryny.

Rekomendacja

Zaktualizuj wtyczkę Cozy Blocks do wersji nowszej niż 2.2.27 i rozważ ograniczenie możliwości publikacji treści przez użytkowników z rolą Contributor do czasu wdrożenia poprawki.

Inne podatności w Cozy Blocks WordPress plugin

CVE-2026-109978Średnie
Wtyczka Cozy Blocks dla WordPressa jest podatna na przechowywany XSS poprzez parametr 'productRating.iconColor' w wersjach do 2.2.27 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami co najmniej Contributor może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę. Podatna ścieżka kodu jest osiągalna tylko gdy opcja productRating jest włączona, a powiązany produkt WooCommerce ma niezerową ocenę.

Oryginalny opis (angielski, źródło NVD)

The Cozy Blocks – Website Builder for WordPress Block Editor | Gutenberg Blocks, Patterns & Templates plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'content (block attribute icon.view / icon.layout / icon.gap)' parameter in all versions up to, and including, 2.2.27 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. Although wp_kses_post is applied on save, it does not neutralize a quote-only attribute-breakout payload containing no '<' character, leaving the block comment and its decoded JSON attributes intact and exploitable at render time.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS