CVE-2026-13458 in GenerateBlocks Plugin
Tóm tắt
Bởi VulDB • 01/08/2026
Plugin GenerateBlocks cho WordPress dễ bị tổn thương đối với lỗ hổng Stored Cross-Site Scripting (XSS) thông qua Dynamic Tag Injection trong các thuộc tính HTML ở tất cả các phiên bản từ 2.3.0 trở về trước do thiếu cơ chế làm sạch đầu vào và thoát ký tự khi xuất dữ liệu. Điều này cho phép những kẻ tấn công đã xác thực, có quyền truy cập cấp Contributor (Người đóng góp) trở lên, chèn mã web tùy ý vào các trang sẽ được thực thi mỗi khi người dùng truy cập một trang bị nhiễm độc. Một kẻ tấn công ở cấp Contributor có thể lưu trữ payload độc hại bằng cách đặt một dynamic tag như {{post_meta key:...}} trong một thuộc tính HTML không phải URL (ví dụ: title, aria-label, alt hoặc data-*) của khối GenerateBlocks element block, sau đó thiết lập khóa post meta tương ứng chưa được bảo vệ thông qua metabox Custom Fields thành giá trị chứa dấu ngoặc kép đóng và một thuộc tính event-handler đã bị chèn độc hại.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.