CVE-2026-107323
NieznaneStreszczenie
Wtyczka Gallery PhotoBlocks dla WordPressa przed wersją 1.3.6 nie dezynfekuje i nie escapuje jednego z ustawień galerii przed wyświetleniem go w atrybucie HTML, co pozwala użytkownikom z poziomem dostępu Contributor i wyższym na przechowywanie JavaScript, który wykonuje się w przeglądarce każdego, kto przegląda stronę zawierającą galerię, w tym administratorów.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w przeglądarce administratora, co może prowadzić do przejęcia sesji, kradzieży danych lub dalszej kompromitacji witryny.
Rekomendacja
Zaktualizuj wtyczkę Gallery PhotoBlocks do wersji 1.3.6 lub nowszej, która zawiera poprawkę zabezpieczającą.
Inne podatności w Gallery PhotoBlocks
Zobacz wszystkieOryginalny opis (angielski, źródło NVD)
The Gallery PhotoBlocks WordPress plugin before 1.3.6 does not sanitize and escape one of its gallery settings before outputting it into an HTML attribute, allowing users with Contributor-level access and above to store JavaScript that executes in the browser of anyone who views a page containing the gallery, including administrators.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS