CVE-2025-13693

ŚrednieCVSS 6.4

Opublikowano: 21/12/2025(UTC)Zaktualizowano: 19/10/2026(UTC)Przetłumaczono: 20/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.23%

Percentyl 13 - wyżej niż 13% wszystkich znanych CVE

Streszczenie

Wtyczka Image Photo Gallery Final Tiles Grid dla WordPressa w wersjach do 3.6.8 włącznie jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez ustawienie 'Custom scripts'. Niedostateczna sanityzacja i ucieczka danych wejściowych pozwalają uwierzytelnionym użytkownikom z rolą Author lub wyższą wstrzykiwać dowolne skrypty do stron.

Ocena ryzyka

Uwierzytelniony atakujący z uprawnieniami Author może wstrzyknąć złośliwy skrypt, który wykona się w przeglądarce innych użytkowników, w tym administratorów, co może prowadzić do przejęcia sesji lub konta.

Rekomendacja

Zaktualizuj wtyczkę Image Photo Gallery Final Tiles Grid do wersji nowszej niż 3.6.8, która zawiera poprawkę podatności.

Inne podatności w Image Photo Gallery Final Tiles Grid WordPress plugin

CVE-2026-107178Średnie
Wtyczka WordPress Image Photo Gallery Final Tiles Grid przed wersją 3.6.16 nie escapuje wartości konfiguracji lightboxa galerii przed wypisaniem ich do skryptu inline na każdej stronie osadzającej galerię. Umożliwia to użytkownikom z uprawnieniami współtwórcy i wyższymi zapisanie kodu JavaScript, który wykonuje się w przeglądarce każdego odwiedzającego galerię, w tym administratorów.

Oryginalny opis (angielski, źródło NVD)

The Image Photo Gallery Final Tiles Grid plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'Custom scripts' setting in all versions up to, and including, 3.6.8 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Author-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS