CVE-2026-105887
ŚrednieCVSS 6.5Streszczenie
Podatność na trwały XSS w pluginie Robo Gallery (wersje do 5.1.6) spowodowana brakiem neutralizacji danych wejściowych podczas generowania strony.
Ocena ryzyka
Atakujący może wstrzyknąć złośliwe skrypty wykonujące się u innych użytkowników, co może prowadzić do kradzieży danych lub przejęcia sesji.
Rekomendacja
Zaktualizuj plugin do najnowszej wersji.
Inne podatności w Robo Gallery
Zobacz wszystkie- CVE-2026-81156Nieznane
Wtyczka Robo Gallery (przed wersją 5.2.6) nie sanityzuje i nie escapuje niektórych ustawień galerii przed ich wyświetleniem na ekranie edycji galerii, co pozwala użytkownikom z rolą Contributor i wyżej na przechowywanie JavaScript, który wykonuje się w kontekście administratora otwierającego galerię do edycji.
- CVE-2026-81155Nieznane
Wtyczka Robo Gallery (przed wersją 5.2.6) nie sanityzuje i nie escapuje ustawienia galerii przed wyświetleniem go na stronie frontendowej, co pozwala użytkownikom z rolą Author i wyżej na przeprowadzanie ataków Stored Cross-Site Scripting, które wykonują się w przeglądarce każdego odwiedzającego galerię, w tym administratorów.
- CVE-2026-81154Nieznane
Wtyczka Robo Gallery dla WordPressa przed wersją 5.2.6 nie dezynfekuje i nie escapuje tekstu alternatywnego obrazów przed jego wyświetleniem w jednym z układów galerii, co pozwala użytkownikom z rolą Autora i wyżej na przeprowadzenie ataków Stored Cross-Site Scripting, które wykonują się w przeglądarce każdego użytkownika oglądającego galerię, w tym administratorów.
- CVE-2026-81153Nieznane
Wtyczka Robo Gallery dla WordPressa przed wersją 5.2.6 nie dezynfekuje i nie escapuje niektórych ustawień obrazów przed ich wyświetleniem na stronie galerii, co pozwala użytkownikom z rolą Autora i wyżej na przeprowadzenie ataków Stored Cross-Site Scripting, które wykonują się w przeglądarce każdego odwiedzającego galerię, w tym administratorów, nawet gdy możliwość unfiltered_html jest zabroniona, np. w multisite.
- CVE-2026-4300Średnie
Wtyczka Robo Gallery dla WordPressa do wersji 5.1.3 jest podatna na Stored Cross-Site Scripting poprzez ustawienie 'Loading Label'. Wtyczka używa wzorca `|***...***|` do osadzania surowego kodu JavaScript w skonfigurowanych obiektach JSON. Uwierzytelnieni atakujący z dostępem na poziomie Autora mogą wstrzyknąć dowolny skrypt, który wykona się przy każdym wyświetleniu strony z galerią.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Robosoft Robo Gallery robo-gallery allows Stored XSS.This issue affects Robo Gallery: from n/a through 5.1.6.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS