CVE-2026-4658 in Gutenberg Essential Blocks Plugin
Sumário
de VulDB • 13/05/2026
O plugin Essential Blocks – Page Builder Gutenberg Blocks, Patterns & Templates para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) por meio dos atributos className, classHook e blockId no bloco Add to Cart (essential-blocks/add-to-cart) em todas as versões até, e incluindo, a 6.0.4. Isso ocorre devido à falta de escape adequado na saída da função render_callback(), onde esses atributos são inseridos nos atributos HTML class e data-id usando sprintf() e implode() brutos, sem o uso de esc_attr(). Embora a div wrapper externa utilize get_block_wrapper_attributes(), que realiza o escape corretamente, as divs internas não o fazem. Isso permite que atacantes autenticados, com acesso nível Contributor ou superior, injetem scripts web arbitrários em páginas, que serão executados sempre que um usuário acessar uma página contaminada.
If you want to get best quality of vulnerability data, you may have to visit VulDB.