CVE-2026-6551: Stored XSS w wtyczce Timeline Blocks for Gutenberg w WordPress

Co wiadomo

Wtyczka Timeline Blocks for Gutenberg do WordPressa jest podatna na atak typu Stored Cross-Site Scripting (XSS) poprzez atrybut 'titleTag' bloku timeline-blocks/tb-timeline-blocks we wszystkich wersjach do 1.1.10 włącznie. Luka wynika z niewystarczającej sanitizacji i ucieczki danych wejściowych, co umożliwia atakującym z uprawnieniami co najmniej współtwórcy wstrzyknięcie złośliwych skryptów.

Wpływ biznesowy

Podatność pozwala na wstrzyknięcie i wykonanie złośliwych skryptów w kontekście strony, co może prowadzić do kradzieży danych sesji, manipulacji treścią lub innych działań szkodliwych dla użytkowników i administratorów. Organizacje korzystające z tej wtyczki powinny traktować tę lukę jako istotne zagrożenie dla bezpieczeństwa witryny i danych.

Rekomendowane działania administratora

Zaleca się niezwłoczne sprawdzenie dostępności aktualizacji wtyczki Timeline Blocks for Gutenberg i jej instalację, jeśli jest dostępna. W przypadku braku łatki należy ograniczyć uprawnienia użytkowników do minimum, przeprowadzić przegląd logów pod kątem podejrzanej aktywności oraz rozważyć zastosowanie dodatkowych mechanizmów ochrony aplikacji webowych. Regularne monitorowanie i szybkie reagowanie na incydenty zwiększy bezpieczeństwo środowiska.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference