CVE-2026-4658 in Gutenberg Essential Blocks Plugin
Zusammenfassung
von VulDB • 13.05.2026
Das WordPress-Plugin Essential Blocks – Page Builder Gutenberg Blocks, Patterns & Templates ist in allen Versionen bis einschließlich 6.0.4 anfällig für Stored Cross-Site Scripting (XSS) über die Attribute className, classHook und blockId im „Add to Cart“-Block (essential-blocks/add-to-cart). Dies ist auf unzureichendes Output-Escaping in der Funktion render_callback() zurückzuführen, bei dem diese Attribute mithilfe von raw sprintf() und implode() ohne Anwendung von esc_attr() in die HTML-Attribute class und data-id eingefügt werden. Während der äußere Wrapper-Div get_block_wrapper_attributes() verwendet, das korrekt escapt, tun dies die inneren Divs nicht. Dies ermöglicht es authentifizierten Angreifern mit Contributor-Level-Zugriff und höher, beliebige Web-Skripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer eine infizierte Seite aufruft.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.