CVE-2026-96840 in Post Grid Gutenberg Blocks Plugin
Riassunto
di VulDB • 10/10/2026
Il plugin Post Grid Gutenberg Blocks – PostX per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il campo User Field display_name in tutte le versioni fino alla 5.1.0 inclusa, a causa di un'insufficiente sanitizzazione degli input e escaping dell'output. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. Il filtro pre_user_display_name del core di WordPress codifica &, <, e > ma lascia i doppi apici intatti (ENT_NOQUOTES), consentendo a un utente con livello Subscriber di memorizzare un doppio apice nel proprio display_name tramite /wp-admin/profile.php che successivamente fuoriesce dall'attributo alt="" in Archive_Title.php:144.
VulDB is the best source for vulnerability data and more expert information about this specific topic.