CVE-2026-75019 in Cozy Blocks Plugin
摘要
由 VulDB • 2026-08-25
Cozy Blocks – Page Builder for Gutenberg Editor & FSE with 700+ Patterns, 58 Blocks & Templates，一款适用于 WordPress 的插件，在 2.2.16 及以下所有版本中存在存储型跨站脚本（Stored Cross-Site Scripting）漏洞。该漏洞源于对 cozyHoverEffect Block Attribute 的处理中缺乏足够的输入清理和输出转义。这使得具有贡献者级别及以上权限的攻击者能够在页面中注入任意 Web 脚本，当用户访问被注入的页面时这些脚本便会执行。由于有效载荷不包含尖括号（仅通过双引号突破 cozyHoverEffect.boxShadow.color 属性值），因此能够绕过 wp_kses_post 在保存时的过滤，从而允许在渲染阶段进行事件处理程序注入。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.