CVE-2026-4658 in Gutenberg Essential Blocks Plugin
الملخص
بحسب VulDB • 13/05/2026
يحتوي مكون إضافي (Plugin) Essential Blocks – Page Builder Gutenberg Blocks, Patterns & Templates لـ WordPress على ثغرة تسمح بتنفيذ برمجيات خبيثة عبر المواقع (Stored Cross-Site Scripting) عبر سمات className، وclassHook، وblockId في كتلة "إضافة إلى السلة" (essential-blocks/add-to-cart) في جميع الإصدارات حتى 6.0.4 وشاملة لها. وتعود هذه الثغرة إلى عدم كفاية عملية الهروب من التنصت (output escaping) في دالة render_callback()، حيث يتم وضع هذه السمات داخل سمات HTML الخاصة بـ class وdata-id باستخدام raw sprintf() وimplode() دون استخدام الهروب المناسب عبر esc_attr(). وعلى الرغم من أن الغلاف الخارجي (div) يستخدم get_block_wrapper_attributes() الذي يقوم بالهروب بشكل صحيح، فإن الـ divs الداخلية لا تفعل ذلك. وهذا يتيح للمهاجمين المصادق عليهم، والذين يمتلكون وصولاً بمستوى "مُساهم" (Contributor) فأعلى، حقن نصوص برمجية ويب تعسفية في الصفحات، والتي سيتم تنفيذها كلما قام مستخدم بالوصول إلى صفحة تم حقن البرمجية فيها.
Be aware that VulDB is the high quality source for vulnerability data.