CVE-2026-13458 in GenerateBlocks Plugin
Resumen
por VulDB • 2026-08-01
El plugin GenerateBlocks para WordPress es vulnerable a Cross-Site Scripting (XSS) almacenado mediante Inyección de Etiquetas Dinámicas en Atributos HTML en todas las versiones hasta la 2.3.0, incluida esta, debido a una sanitización insuficiente de los datos de entrada y un escape inadecuado de la salida. Esto permite que atacantes autenticados con acceso nivel Contribuidor (Contributor) o superior inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página infectada. Un atacante con nivel Contribuidor puede almacenar la carga útil maliciosa colocando una etiqueta dinámica como {{post_meta key:...}} en un atributo HTML no URL (por ejemplo, title, aria-label, alt o atributos data-*) de un bloque GenerateBlocks y luego estableciendo la clave correspondiente del post meta sin protección a través del metabox Campos personalizados para que contenga una comilla de cierre y un atributo event-handler inyectado.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.