CVE-2026-109936: falha de alta gravidade em Otter Blocks
Otter Blocks < 3.2.8 - Unauthenticated Stored XSS via Dynamic Content Render Filter
Publicada em
Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.
41Vexday Risk Score
Sem sinal de exploração. Ela tem prova de conceito pública.
ssvc Attendcvss 7.5epss 0.3%
The Otter Blocks WordPress plugin before 3.2.8 does not correctly bound a pattern it uses to rewrite its dynamic-content tokens while rendering blocks, so the pattern can consume the quote that closes an HTML attribute and pull adjacent unescaped data into the markup as new attributes. This allows unauthenticated users to achieve stored Cross-Site Scripting that executes in the browser of any visitor who views an affected page, including a logged-in administrator.
CVSS:3.1/AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H
Produtos afetados
Unknown · Otter BlocksPoCs públicas encontradas — 1
cve_referencewpscan.com/vulnerability/c9f264ad-0857-4d1f-9f20-694469d7bee0/não verificado⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.
CVEs relacionadas — Otter Blocks
No mesmo produto, das mais perigosas para as menos.
CVE-2024-2729MEDIUMOtter Blocks < 2.6.6 - Contributor+ Stored XSSEPSS 0.4%CVE-2026-109933MEDIUMOtter Blocks < 3.2.8 - Contributor+ Stored XSS via Block Style AttributesEPSS 0.3%CVE-2026-109935MEDIUMOtter Blocks < 3.2.8 - Unauthenticated Restricted Block Content Disclosure via REST APIEPSS 0.3%CVE-2026-109934MEDIUMOtter Blocks 3.1.1 - 3.2.7 - Unauthenticated Non-Public Content Disclosure via REST APIEPSS 0.3%CVE-2026-109937MEDIUMOtter Blocks < 3.2.3 - Unauthenticated Open Redirect via Stripe Checkout BlockEPSS 0.1%