CVE-2026-12399: Stored XSS w Gutenverse WordPress Blocks do wersji 3.8.0

Co wiadomo

Wtyczka Gutenverse – WordPress Blocks, Page Builder & Site Editor jest podatna na przechowywany Cross-Site Scripting (XSS) w ustawieniach administratora we wszystkich wersjach do 3.8.0 włącznie. Luka wynika z niewystarczającej sanitizacji danych wejściowych i braku odpowiedniego escapingu wyjścia, umożliwiając atakującym z uprawnieniami edytora lub wyższymi wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność dotyczy instalacji multisite oraz tych, gdzie wyłączono filtr unfiltered_html. Atakujący mogą wstrzyknąć i wykonać złośliwe skrypty w kontekście użytkowników odwiedzających zainfekowane strony, co może prowadzić do kradzieży sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i reputacji firmy. Wpływa to na bezpieczeństwo witryn opartych na WordPress z tą wtyczką.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Gutenverse i ich wdrożenie. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, zweryfikować konfigurację multisite oraz ustawienia unfiltered_html. Dodatkowo warto monitorować logi serwera pod kątem podejrzanych działań i rozważyć zastosowanie dodatkowych mechanizmów ochrony przed XSS.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference