CVE-2026-4559
ŚrednieCVSS 6.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 24 - wyżej niż 24% wszystkich znanych CVE
Streszczenie
Wtyczka Image Photo Gallery Final Tiles Grid dla WordPressa do wersji 3.6.12 włącznie jest podatna na Stored Cross-Site Scripting przez atrybut 'delay' w shortcode z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyżej wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Ocena ryzyka
Ryzyko obejmuje możliwość wykonania złośliwego skryptu w przeglądarce użytkownika, co może prowadzić do kradzieży danych, przejęcia sesji lub dalszych ataków.
Rekomendacja
Zaleca się aktualizację wtyczki Image Photo Gallery Final Tiles Grid do najnowszej wersji, która zawiera poprawki bezpieczeństwa.
Inne podatności w Image Photo Gallery Final Tiles Grid
Zobacz wszystkie- CVE-2026-27424Średnie
Wtyczka Image Photo Gallery Final Tiles Grid dla WordPressa do wersji 3.6.11 włącznie ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu.
- CVE-2026-39510Niskie
Wtyczka WordPress Image Photo Gallery Final Tiles Grid (wersje do 3.6.11) zawiera podatność na obejście autoryzacji poprzez kontrolowany przez użytkownika klucz, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
The Image Photo Gallery Final Tiles Grid plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'delay' shortcode attribute in all versions up to, and including, 3.6.12 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.