CVE-2026-75019

Nome do Software Vulnerável e Versões Afetadas Cozy Blocks – Page Builder for Gutenberg Editor & FSE versões anteriores a 2.2.17

Descrição A sanitização de entrada e a filtragem de saída insuficientes permitem que atacantes autenticados com nível de acesso de contribuidor ou superior realizem Stored Cross-Site Scripting. Um atacante pode injetar scripts web arbitrários em páginas manipulando o atributo de bloco cozyHoverEffect, especificamente através de um breakout de aspas duplas no valor do atributo cozyHoverEffect.boxShadow.color. Isso permite a injeção de manipuladores de eventos na etapa de renderização, e a carga útil ignora o wp kses post por não utilizar colchetes angulares.

Recomendações Atualize o plugin para a versão 2.2.17 ou posterior. Como mitigação temporária, restrinja a capacidade de usuários com nível de acesso de contribuidor de editar blocos que utilizam o atributo cozyHoverEffect.