CVE-2026-4658
El plugin Essential Blocks – Page Builder Gutenberg Blocks, Patterns & Templates para WordPress es vulnerable a Stored Cross-Site Scripting (XSS) mediante los atributos className, classHook y blockId en el bloque Add to Cart (essential-blocks/add-to-cart) en todas las versiones hasta y inclusive la 6.0.4. Esto se debe a una falta de escapado adecuado en la función render_callback() donde estos atributos se colocan en los atributos HTML class y data-id utilizando raw sprintf() e implode() sin esc_attr() para escaparlos. Aunque el div envolvente exterior utiliza get_block_wrapper_attributes() que realiza un escapado apropiadamente, los divs internos no lo hacen. Esto permite a atacantes autenticados con acceso de nivel Contributor y superior inyectar scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página inyectada.
Traducción automática del texto original de la fuente. Ver original
Fuente: CVE.org