Luka XSS w wtyczce Maxi Blocks dla WordPress (CVE-2026-6378)

Co wiadomo

Wtyczka Maxi Blocks dla WordPress do wersji 2.1.9 zawiera lukę typu Stored Cross-Site Scripting (XSS) w endpointzie REST API /wp-json/maxi-blocks/v1.0/style-card. Luka wynika z niewystarczającej sanitacji i escapingu parametru sc_styles, co pozwala na wstrzyknięcie złośliwych skryptów przez użytkowników z uprawnieniami autora i wyższymi.

Wpływ biznesowy

Atakujący z uprawnieniami autora lub wyższymi mogą wstrzykiwać złośliwe skrypty, które wykonują się na każdej stronie, gdzie ładowane są style wtyczki, w tym w całym panelu administracyjnym WordPress. Może to prowadzić do przejęcia sesji, eskalacji uprawnień lub innych działań szkodliwych dla integralności i bezpieczeństwa witryny.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Maxi Blocks i ich wdrożenie. W międzyczasie warto ograniczyć dostęp do kont z uprawnieniami autora i wyższymi, monitorować logi pod kątem podejrzanych działań oraz rozważyć zastosowanie dodatkowych mechanizmów zabezpieczających REST API. Priorytetem jest szybka aktualizacja i ograniczenie ekspozycji podatności.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference