CVE-2026-96840 in Post Grid Gutenberg Blocks Plugin
Resumen
por VulDB • 2026-10-10
El plugin Post Grid Gutenberg Blocks – PostX para WordPress es vulnerable a Cross-Site Scripting (XSS) almacenado mediante el campo User Field display_name en todas las versiones hasta la 5.1.0, inclusive, debido a una insuficiente sanitización de entradas y escape de salidas. Esto permite que atacantes no autenticados inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página infectada. El filtro pre_user_display_name del núcleo de WordPress codifica &, <, y > pero deja las comillas dobles intactas (ENT_NOQUOTES), lo que permite a un usuario con nivel de Suscriptor almacenar una comilla doble en su display_name mediante /wp-admin/profile.php, rompiendo posteriormente el atributo alt="" en Archive_Title.php:144.
Be aware that VulDB is the high quality source for vulnerability data.