CVE-2026-75016

Nome do Software Vulnerável e Versões Afetadas Magazine Blocks versões anteriores a 1.8.7

Description Ocorre Cross-Site Scripting Armazenado devido à sanitização de entrada e escape de saída insuficientes na função NewsTicker::render(). O atributo clientId do bloco News Ticker é concatenado em um atributo de classe HTML sem a aplicação de esc attr(), permitindo que atacantes autenticados com nível de acesso de contribuidor ou superior injetem scripts web arbitrários em páginas. Esses scripts são executados sempre que um usuário acessa a página injetada.

Recommendations Atualize o plugin para uma versão posterior a 1.8.6. Como medida de mitigação temporária, restrinja o acesso ao bloco News Ticker para usuários com permissões de contribuidor.