VULNERABILIDADDetectada 07 NOV · 05:46

CVE-2026-118800 Cross-site scripting almacenado en aBlocks hasta 2.18.0 vía atributo headingTag

El parámetro headingTag no se sanea ni escapa correctamente. Atacantes autenticados con nivel Contributor o superior pueden inyectar scripts que se ejecutan cuando un usuario accede a la página afectada. Afecta a versiones hasta la 2.18.0 inclusive.

6.4MEDIA

CVSS 3.1

Probabilidad de explotación · EPSS del 09/110,2 % · percentil 9
Explotada activamenteNo confirmada
Exploit públicoNo conocido

Afectados

kodezen aBlocks – Gutenberg Blocks, User Dashboard Builder, Popup Builder, Form Builder & Animation Builder
hasta 2.18.0

Qué hacer

Verificá si usás aBlocks – Gutenberg Blocks, User Dashboard Builder, Popup Builder, Form Builder & Animation Builder y en qué versión.
Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.

Calculadora CVSS

CVSS 3.1 · 6.4 MEDIA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Vector de ataqueRed
Complejidad del ataqueBaja
Privilegios requeridosBajos
Interacción del usuarioNinguna
AlcanceCambiado
ConfidencialidadBaja
IntegridadBaja
DisponibilidadNinguna

Descripción original

The aBlocks – Gutenberg Blocks, User Dashboard Builder, Popup Builder, Form Builder & Animation Builder plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'headingTag' parameter in all versions up to, and including, 2.18.0 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Referencias (5)

Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.