CVE-2026-4559
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Wtyczka Image Photo Gallery Final Tiles Grid dla WordPressa do wersji 3.6.12 włącznie jest podatna na Stored Cross-Site Scripting przez atrybut 'delay' w shortcode z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyżej wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Ocena ryzyka
Ryzyko obejmuje możliwość wykonania złośliwego skryptu w przeglądarce użytkownika, co może prowadzić do kradzieży danych, przejęcia sesji lub dalszych ataków.
Rekomendacja
Zaleca się aktualizację wtyczki Image Photo Gallery Final Tiles Grid do najnowszej wersji, która zawiera poprawki bezpieczeństwa.
Inne podatności w Image Photo Gallery Final Tiles Grid
Zobacz wszystkie- CVE-2026-104646Średnie
Wtyczka WordPress Image Photo Gallery Final Tiles Grid przed wersją 3.6.14 nie sanityzuje kilku wartości konfiguracyjnych galerii, które mogą być nadpisane przez shortcode galerii, przed wypisaniem ich w bloku skryptu inline. Użytkownicy z poziomem współpracownika i wyższym mogą wstrzyknąć dowolny JavaScript, który wykonuje się w sesji każdego, kto przegląda post, w tym administratora podglądającego oczekujące zgłoszenie. Nie jest wymagana własność galerii: można odwołać się do dowolnej istniejącej galerii.
- CVE-2026-104645Niskie
Wtyczka Image Photo Gallery Final Tiles Grid dla WordPressa przed wersją 3.6.14 nie weryfikuje poprawnie autoryzacji w kilku akcjach zarządzania galerią i obrazami. Sprawdza własność względem innego obiektu niż ten, na którym działa, lub całkowicie pomija sprawdzenie. Pozwala to każdemu uwierzytelnionemu użytkownikowi z dostępem na poziomie współautora lub wyższym na klonowanie, modyfikowanie i zmienianie kolejności galerii i obrazów należących do innych użytkowników oraz zapisywanie metadanych wtyczki na dowolnych postach, których nie posiadają.
- CVE-2026-104409Średnie
Podatność typu Stored XSS w wtyczce Image Photo Gallery Final Tiles Grid do wersji 3.6.13. Umożliwia wstrzyknięcie trwałego skryptu, który może być wykonany w przeglądarce użytkownika.
- CVE-2026-27424Średnie
Wtyczka Image Photo Gallery Final Tiles Grid dla WordPressa do wersji 3.6.11 włącznie ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu.
- CVE-2026-39510Niskie
Wtyczka WordPress Image Photo Gallery Final Tiles Grid (wersje do 3.6.11) zawiera podatność na obejście autoryzacji poprzez kontrolowany przez użytkownika klucz, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
The Image Photo Gallery Final Tiles Grid plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'delay' shortcode attribute in all versions up to, and including, 3.6.12 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS