WordPress Gutenberg Blocks – Unlimited blocks For Gutenberg plugin <= 1.2.8 - Vulnerabilidade de Cross Site Scripting (XSS) refletida

Um atacante pode explorar essa vulnerabilidade manipulando a URL para incluir código JavaScript malicioso. Quando um usuário clica em um link malicioso ou visita uma página comprometida, o script é executado no navegador do usuário, permitindo que o atacante roube cookies, redirecione o usuário para sites maliciosos ou modifique o conteúdo da página. O impacto pode variar dependendo do contexto da aplicação e das permissões do usuário afetado, podendo levar à comprometimento de contas e exfiltração de dados sensíveis.

Websites using the Unlimited Blocks for Gutenberg plugin, particularly those with user-generated content or where users are likely to click on links from untrusted sources, are at risk. Shared hosting environments where multiple websites share the same server infrastructure could also be affected if one site is compromised and used to distribute malicious links.

• wordpress / composer / npm:

grep -r 'Unlimited Blocks for Gutenberg' /var/www/html/wp-content/plugins/
wp plugin list | grep 'Unlimited Blocks for Gutenberg'

• generic web:

curl -I 'https://example.com/?param=<script>alert(1)</script>' | grep 'Content-Security-Policy'

1. 2026-03-19Disclosure

   disclosure

1. Reservado2026-02-02
2. Publicada2026-03-19
3. Modificada2026-04-28
4. EPSS atualizado2026-03-26

A mitigação primária é atualizar o plugin Unlimited Blocks for Gutenberg para a versão mais recente, que corrige a vulnerabilidade. Se a atualização imediata não for possível, implemente filtros de entrada robustos para sanitizar todos os dados recebidos via URL. Utilize uma Web Application Firewall (WAF) com regras para detectar e bloquear payloads XSS comuns. Monitore logs de acesso e erros em busca de padrões suspeitos de injeção de scripts.

Instalações ativas

1KNicho

Avaliação do plugin