CVE-2026-18488
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Wtyczka Blocksy Companion dla WordPressa jest podatna na trwały atak XSS poprzez atrybut bloku 'tagName' (blocksy/dynamic-data) we wszystkich wersjach do 2.1.51 włącznie. Uwierzytelnieni atakujący z dostępem na poziomie autora lub wyższym mogą wstrzyknąć złośliwe skrypty, które wykonają się przy każdej wizycie na zainfekowanej stronie.
Ocena ryzyka
Ryzyko obejmuje kradzież danych użytkowników, przejęcie kont oraz rozprzestrzenianie złośliwego oprogramowania na stronie, co może zaszkodzić reputacji organizacji.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji z poprawką. Należy również ograniczyć uprawnienia autorów i regularnie audytować treści pod kątem złośliwego kodu.
Inne podatności w Blocksy Companion
Zobacz wszystkie- CVE-2026-97247Średnie
Podatność na nieautoryzowany dostęp (Broken Access Control) w Blocksy Companion w wersjach do 2.1.55, bez wymaganego uwierzytelnienia.
- CVE-2026-107645Krytyczne
Wtyczka Blocksy Companion do wersji 2.1.58 włącznie jest podatna na eskalację uprawnień. Handler AJAX implement_user_registration() wyłącza kontrolę nonce rejestracji Dokan i ufa dostarczonej przez atakującego wartości $_POST['role'], co pozwala nieuwierzytelnionym atakującym na uzyskanie konta sprzedawcy (seller) i automatyczne zalogowanie, nawet gdy rejestracja vendorów jest wyłączona.
- CVE-2026-15158Krytyczne
Wtyczka Blocksy Companion dla WordPressa jest podatna na dowolne przesyłanie plików w wersjach do 2.1.46 włącznie. Podatność wynika z błędnej walidacji rozszerzeń plików w funkcji save_attachments, co pozwala na ominięcie kontroli MIME i przesłanie plików z podwójnym rozszerzeniem, takich jak shell.woff2.php. Atak może prowadzić do zdalnego wykonania kodu, ale wymaga aktywacji premium wersji wtyczki z określonymi rozszerzeniami.
- CVE-2026-65444Średnie
Wtyczka Blocksy Companion firmy Creative Themes zawiera podatność niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych (Cross-site Scripting), umożliwiającą przechowywany XSS. Problem dotyczy Blocksy Companion w wersjach od n/a do 2.1.60.
- CVE-2025-12475Średnie
Wtyczka Blocksy Companion dla WordPressa (do wersji 2.1.14) jest podatna na przechowywany XSS przez shortcode 'blocksy_newsletter_subscribe' z powodu niewystarczającej sanityzacji i braku escape'owania atrybutów.
Oryginalny opis (angielski, źródło NVD)
The Blocksy Companion plugin for WordPress is vulnerable to Stored Cross-Site Scripting via 'tagName' Block Attribute (blocksy/dynamic-data) in all versions up to, and including, 2.1.51 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with author-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS