CVE-2026-0894: XSS in Content Blocks Widget 3.3.9 for WordPress
Plattform
wordpress
Komponente
custom-post-widget
Behoben in
3.4.1
CVE-2026-0894 is a stored Cross-Site Scripting (XSS) vulnerability affecting the Content Blocks (Custom Post Widget) plugin for WordPress. This vulnerability allows authenticated attackers with contributor-level access or higher to inject arbitrary web scripts. The vulnerability impacts versions up to and including 3.3.9 of the plugin and is resolved by upgrading to version 3.4.1.
Erkenne diese CVE in deinem Projekt
Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.
Auswirkungen und Angriffsszenarien
An attacker exploiting CVE-2026-0894 can inject malicious JavaScript code into WordPress pages via the plugin's content_block shortcode. When a user accesses a page containing the injected script, the script will execute in their browser, potentially stealing cookies, redirecting them to malicious websites, or defacing the website. The impact is amplified if the attacker can target administrators or users with elevated privileges. This could lead to account compromise and further system access.
Ausnutzungskontext
CVE-2026-0894 was published on 2026-04-18. The CVSS score is 6.4 (Medium). Public proof-of-concept exploits are not currently known. The vulnerability requires authentication with contributor-level access, which limits the immediate exploitation probability. No information is available regarding active campaigns targeting this vulnerability.
Bedrohungsanalyse
Exploit-Status
EPSS
0.01% (1% Perzentil)
CVSS-Vektor
Was bedeuten diese Metriken?
- Attack Vector
- Netzwerk — aus der Ferne über das Internet ausnutzbar. Kein physischer oder lokaler Zugriff erforderlich.
- Attack Complexity
- Niedrig — keine besonderen Bedingungen erforderlich. Zuverlässig ausnutzbar.
- Privileges Required
- Niedrig — jedes gültige Benutzerkonto ist ausreichend.
- User Interaction
- Keine — automatischer und lautloser Angriff. Das Opfer tut nichts.
- Scope
- Geändert — Angriff kann über die anfällige Komponente hinaus auf andere Systeme übergreifen.
- Confidentiality
- Niedrig — partieller oder indirekter Zugriff auf einige Daten.
- Integrity
- Niedrig — Angreifer kann einige Daten mit begrenztem Umfang ändern.
- Availability
- Keine — kein Verfügbarkeitseinfluss.
Schwachstellen-Klassifikation (CWE)
Zeitleiste
- Veröffentlicht
- Geändert
- EPSS aktualisiert
Mitigation und Workarounds
The primary mitigation for CVE-2026-0894 is to upgrade the Content Blocks (Custom Post Widget) plugin to version 3.4.1 or later. Before upgrading, back up your WordPress website and database. If upgrading is not immediately feasible, consider restricting access to the plugin's shortcode functionality to trusted users only. Implement a Web Application Firewall (WAF) with rules to detect and block XSS attempts targeting the plugin. After upgrading, verify the fix by attempting to inject a simple JavaScript payload through the plugin's shortcode; the payload should not execute.
So beheben
Update to version 3.4.1, or a newer patched version
Häufig gestellte Fragen
Was ist CVE-2026-0894 — Cross-Site Scripting (XSS) in content-blocks-custom-post-widget?
It’s a Stored XSS vulnerability in the Content Blocks plugin for WordPress, allowing script injection by authenticated users.
Bin ich von CVE-2026-0894 in content-blocks-custom-post-widget betroffen?
You are affected if you are using the Content Blocks plugin for WordPress versions 3.3.9 or earlier.
Wie behebe ich CVE-2026-0894 in content-blocks-custom-post-widget?
Upgrade the plugin to version 3.4.1 or later. Restrict access to the plugin's shortcode if immediate upgrade isn't possible.
Wird CVE-2026-0894 aktiv ausgenutzt?
Currently, there are no known public exploits or active campaigns targeting this vulnerability.
Wo finde ich den offiziellen content-blocks-custom-post-widget-Hinweis für CVE-2026-0894?
Consult the plugin developer's website and the NVD entry for CVE-2026-0894 for more details.
Ist dein Projekt betroffen?
Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.
Erkenne diese CVE in deinem Projekt
Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.
Scannen Sie jetzt Ihr WordPress-Projekt – kein Konto
Laden Sie ein Manifest hoch (composer.lock, package-lock.json, WordPress Plugin-Liste…) oder fügen Sie Ihre Komponentenliste ein. Sie erhalten sofort einen Schwachstellenbericht. Das Hochladen einer Datei ist nur der Anfang: Mit einem Konto erhalten Sie kontinuierliche Überwachung, Slack/email-Benachrichtigungen, Multi-Projekt- und White-Label-Berichte.
Abhängigkeitsdatei hier ablegen
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...