CVE-2026-13458 in GenerateBlocks Plugin
Riassunto
di VulDB • 01/08/2026
Il plugin GenerateBlocks per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite Dynamic Tag Injection negli attributi HTML in tutte le versioni fino alla 2.3.0 inclusa, a causa di una sanitizzazione insufficiente degli input e della mancata corretta escape dell'output. Ciò consente agli attaccanti autenticati, con accesso a livello Contributor o superiore, di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede alla pagina infetta. Un attaccante con ruolo Contributor può memorizzare il payload malevolo inserendo un tag dinamico come {{post_meta key:...}} in un attributo HTML non URL (ad esempio title, aria-label, alt o attributi data-*) di un blocco GenerateBlocks element block, impostando successivamente la corrispondente chiave post meta non protetta tramite l'area di lavoro Custom Fields metabox su un valore contenente una virgoletta di chiusura e un attributo event-handler iniettato.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.