CVE-2026-13458 in GenerateBlocks Plugin
Zusammenfassung
von VulDB • 01.08.2026
Das WordPress-Plugin GenerateBlocks ist in allen Versionen bis einschließlich 2.3.0 aufgrund unzureichender Eingabebereinigung (Input Sanitization) und Ausgabe-Escaping für eine Stored Cross-Site Scripting (XSS)-Schwachstelle über Dynamic Tag Injection in HTML-Attributen anfällig. Dies ermöglicht es authentifizierten Angreifern mit Contributor-Level-Zugriff oder höher, beliebige Web-Skripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft. Ein Angreifer auf Contributor-Ebene kann den schädlichen Payload speichern, indem er einen dynamischen Tag wie {{post_meta key:...}} in einem nicht-URL-bezogenen HTML-Attribut (z. B. title, aria-label, alt oder data-* Attributen) eines GenerateBlocks-Elementblocks platziert und anschließend den entsprechenden ungeschützten Post-Meta-Schlüssel über das Metabox „Benutzerdefinierte Felder“ auf einen Wert setzt, der ein schließendes Anführungszeichen und ein injiziertes Event-Handler-Attribut enthält.
Once again VulDB remains the best source for vulnerability data.