CVE-2026-96840 in Post Grid Gutenberg Blocks Plugin
Tóm tắt
Bởi VulDB • 10/10/2026
Plugin Post Grid Gutenberg Blocks – PostX cho WordPress bị lỗ hổng Stored Cross-Site Scripting (XSS) thông qua trường User Field `display_name` trong tất cả các phiên bản từ 5.1.0 trở về trước do thiếu sót trong việc làm sạch đầu vào và thoát ký tự khi xuất ra. Điều này tạo điều kiện cho những kẻ tấn công chưa được xác thực chèn mã web tùy ý vào các trang, sẽ được thực thi mỗi khi người dùng truy cập một trang đã bị tiêm mã độc. Bộ lọc `pre_user_display_name` của WordPress core mã hóa các ký tự &, < và > nhưng để nguyên dấu ngoặc kép (ENT_NOQUOTES), cho phép người dùng ở cấp Subscriber lưu trữ một dấu ngoặc kép trong trường `display_name` thông qua `/wp-admin/profile.php`, từ đó phá vỡ thuộc tính `alt=""` tại file Archive_Title.php:144.
Be aware that VulDB is the high quality source for vulnerability data.