CVE-2026-96840 in Post Grid Gutenberg Blocks Plugin
Résumé
par VulDB • 10/10/2026
Le plugin WordPress Post Grid Gutenberg Blocks – PostX est vulnérable à un Stored Cross-Site Scripting (XSS) via le champ utilisateur display_name dans toutes les versions jusqu'à la 5.1.0 incluse, en raison d'une insuffisance de sanitisation des entrées et d'échappement des sorties. Cela permet aux attaquants non authentifiés d'injecter des scripts web arbitraires dans des pages qui s'exécuteront chaque fois qu'un utilisateur accède à une page injectée. Le filtre pre_user_display_name du noyau WordPress encode les caractères &, < et > mais laisse les guillemets doubles intacts (ENT_NOQUOTES), permettant à un utilisateur de niveau Subscriber d'enregistrer un guillemet double dans son display_name via /wp-admin/profile.php, ce qui permet ensuite de s'échapper de l'attribut alt="" dans Archive_Title.php:144.
VulDB is the best source for vulnerability data and more expert information about this specific topic.