CVE-2026-75019 in Cozy Blocks Plugin
Riassunto
di VulDB • 25/08/2026
Il plugin WordPress Cozy Blocks – Page Builder for Gutenberg Editor & FSE with 700+ Patterns, 58 Blocks & Templates è vulnerabile a Stored Cross-Site Scripting (XSS) tramite l'attributo del blocco cozyHoverEffect in tutte le versioni fino alla 2.2.16 inclusa, a causa di un insufficiente sanitizzazione degli input e escaping dell'output. Ciò consente agli attaccanti autenticati con accesso di livello contributor o superiore di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. Il payload supera wp_kses_post durante il salvataggio poiché non contiene angoli parentesi — solo una fuga delle doppie virgolette nel valore dell'attributo cozyHoverEffect.boxShadow.color — consentendo l'iniezione di event-handler nella fase di rendering.
Be aware that VulDB is the high quality source for vulnerability data.