CVE-2026-15386

ŚrednieCVSS 5.4

Opublikowano: 07/08/2026(UTC)Zaktualizowano: 26/08/2026(UTC)Przetłumaczono: 07/08/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.13%

Percentyl 3 - wyżej niż 3% wszystkich znanych CVE

Streszczenie

Wtyczka Meow Gallery dla WordPressa przed wersją 5.5.2 nie escapuje tekstu alternatywnego załącznika przed wypisaniem go do atrybutu linku budowanego dla galerii z linkami. Umożliwia to użytkownikom z rolą Autora lub wyższą przechowywanie ładunku JavaScript, który wykonuje się w przeglądarce każdego odwiedzającego (w tym administratorów), który przegląda post zawierający taką galerię.

Ocena ryzyka

Ryzyko obejmuje wykonanie złośliwego skryptu w przeglądarkach odwiedzających, co może prowadzić do kradzieży sesji, ataków phishingowych lub rozprzestrzeniania złośliwego oprogramowania.

Rekomendacja

Zaleca się aktualizację wtyczki Meow Gallery do wersji 5.5.2 lub nowszej. Należy również odpowiednio escapować tekst alternatywny przed użyciem w atrybutach HTML.

Inne podatności w Meow Gallery

CVE-2026-1291Średnie
Wtyczka Meow Gallery dla WordPress do wersji 5.4.4 włącznie jest podatna na nieautoryzowaną modyfikację danych przez REST API /wp-json/meow-gallery/v1/save_shortcode z powodu braku sprawdzenia uprawnień. Uwierzytelnieni atakujący z dostępem na poziomie Autora mogą tworzyć lub nadpisywać rekordy galerii, podając kontrolowaną wartość id.

Oryginalny opis (angielski, źródło NVD)

The Meow Gallery WordPress plugin before 5.5.2 does not escape an attachment's alt text before outputting it into an attribute of the link it builds for linked galleries, allowing users with the Author role or above to store a JavaScript payload that executes in the browser of any visitor (including administrators) who views a post containing such a gallery.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS