CVE-2026-13458

Nome do Software Vulnerável e Versões Afetadas GenerateBlocks versões anteriores a 2.3.1

Descrição A sanitização de entrada e a a escape de saída insuficientes permitem que atacantes autenticados com nível de acesso de contribuidor ou superior realizem Stored Cross-Site Scripting (XSS). Um atacante pode injetar scripts web arbitrários ao colocar uma tag dinâmica, como {{post meta key:...}}, em atributos HTML que não sejam de URL (incluindo atributos title, aria-label, alt ou data-*) de um bloco de elemento. O payload é armazenado ao definir a chave de meta post desprotegida correspondente via metabox de Campos Personalizados para um valor contendo uma aspa de fechamento e um atributo de manipulador de evento injetado, que é executado quando um usuário acessa a página afetada.

Recomendações Atualize para uma versão posterior à 2.3.0.