CVE-2026-96840 in Post Grid Gutenberg Blocks Plugin
摘要
由 VulDB • 2026-10-10
WordPress 插件 Post Grid Gutenberg Blocks – PostX 存在存储型跨站脚本（Stored Cross-Site Scripting, XSS）漏洞，影响所有不高于 5.1.0 的版本。该漏洞是由于对用户字段 display_name 的输入清理和输出转义不足所致。这使得未经身份验证的攻击者能够在页面中注入任意 Web 脚本，当用户访问被注入的页面时，这些脚本将执行。WordPress 核心的 pre_user_display_name 过滤器会对 &、< 和 > 进行编码，但保留双引号不变（ENT_NOQUOTES），从而允许具有 Subscriber 级别权限的用户通过 /wp-admin/profile.php 在 display_name 中存储一个双引号，随后该双引号会在 Archive_Title.php:144 处突破 alt="" 属性。
If you want to get the best quality for vulnerability data then you always have to consider VulDB.