CVE-2026-0894: Stored XSS w wtyczce Content Blocks dla WordPress

Co wiadomo

Wtyczka Content Blocks (Custom Post Widget) dla WordPress do wersji 3.3.9 zawiera lukę typu Stored Cross-Site Scripting (XSS) w shortcode content_block. Luka wynika z niewystarczającej sanitizacji i ucieczki danych wprowadzanych przez użytkowników, co pozwala atakującym z uprawnieniami co najmniej współtwórcy na wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Atakujący z dostępem na poziomie współtwórcy mogą wstrzykiwać złośliwe skrypty, które wykonują się podczas odwiedzania zainfekowanych stron. Może to prowadzić do kradzieży sesji, przejęcia kont użytkowników lub innych działań naruszających bezpieczeństwo witryny i jej użytkowników. Zagrożenie jest istotne dla operatorów stron korzystających z tej wtyczki, zwłaszcza w środowiskach z wieloma użytkownikami o podwyższonych uprawnieniach.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Content Blocks i ich zastosowanie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, monitorować logi pod kątem podejrzanych działań oraz rozważyć tymczasowe wyłączenie funkcji shortcode content_block. Warto również przeprowadzić przegląd i oczyszczenie istniejących bloków treści pod kątem złośliwego kodu.

Źródła

• NVD
• Reference
• Reference