CVE-2026-13458 in GenerateBlocks Plugin
Сводка
по VulDB • 01.08.2026
Плагин GenerateBlocks для WordPress уязвим к Stored Cross-Site Scripting (XSS) через Dynamic Tag Injection в HTML-атрибутах во всех версиях вплоть до 2.3.0 включительно из-за недостаточной санитизации входных данных и экранирования выходных данных. Это позволяет атакующим с уровнем доступа «Contributor» и выше, прошедшим аутентификацию, внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом посещении такой страницы пользователем. Атакующий на уровне Contributor может сохранить вредоносный код, поместив динамический тег, например {{post_meta key:...}}, в не связанный с URL HTML-атрибут (например, title, aria-label, alt или атрибуты data-*) блока GenerateBlocks, а затем установив соответствующий незащищенный ключ постметаданных через метабокс «Custom Fields» в значение, содержащее закрывающую кавычку и внедренный обработчик событий.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.