CVE-2026-18435

If you're running Kadence Blocks, check your version immediately. CVE-2026-18435 is a stored XSS in the toggleIcon attribute — a field that看起来像配置选项，实际上没有任何输出过滤。贡献者级别的用户可以在任何支持该图标的块中注入恶意脚本，访问者浏览页面时自动执行，无需任何交互。 问题不在于开发人员忘记了一般的清理工作。真正的问题是图标选择器、标签字段和布局控件被系统地视为“良性”数据——它们看起来不像用户输入，因此不会被相同的内容过滤对待。这是一个认知盲点：古腾堡块API将安全决策推给每个块的作者，而不是提供安全的默认值。当一个属性“只是保存一个图标名称”时，默认路径是直接渲染它，而不需要任何转义。 为什么这很严重：贡献者角色在WordPress中权限较低，但他们在生产网站上拥有内容创建权限。这个存储型XSS一旦注入，攻击者就可以离开，任何后续页面加载都会执行有效负载。这在操作上等同于管理员级别的漏洞利用——只是起点更低。 你应该做什么：1）将Kadence Blocks更新到3.7.9或更高版本；2）在你的安装中审计其他自定义块或第三方块，看它们是否有类似的图标/标签/布局属性没有转义——这很可能不是一个孤立的问题；3）检查你的用户角色权限，贡献者是否真的需要在你的网站上创建内容，或者这个角色是否可以完全禁用。

Reviewed through automated stages and approved by a human before publication.