CVE-2026-81153
NieznaneStreszczenie
Wtyczka Robo Gallery dla WordPressa przed wersją 5.2.6 nie dezynfekuje i nie escapuje niektórych ustawień obrazów przed ich wyświetleniem na stronie galerii, co pozwala użytkownikom z rolą Autora i wyżej na przeprowadzenie ataków Stored Cross-Site Scripting, które wykonują się w przeglądarce każdego odwiedzającego galerię, w tym administratorów, nawet gdy możliwość unfiltered_html jest zabroniona, np. w multisite.
Ocena ryzyka
Podatność umożliwia wstrzyknięcie skryptów, które mogą przejąć kontrolę nad sesjami administratorów lub wykraść dane, nawet w środowiskach multisite z ograniczonymi uprawnieniami.
Rekomendacja
Zaktualizuj wtyczkę Robo Gallery do wersji 5.2.6 lub nowszej, która zawiera poprawkę zabezpieczającą.
Inne podatności w Robo Gallery
Zobacz wszystkie- CVE-2026-81156Nieznane
Wtyczka Robo Gallery (przed wersją 5.2.6) nie sanityzuje i nie escapuje niektórych ustawień galerii przed ich wyświetleniem na ekranie edycji galerii, co pozwala użytkownikom z rolą Contributor i wyżej na przechowywanie JavaScript, który wykonuje się w kontekście administratora otwierającego galerię do edycji.
- CVE-2026-81155Nieznane
Wtyczka Robo Gallery (przed wersją 5.2.6) nie sanityzuje i nie escapuje ustawienia galerii przed wyświetleniem go na stronie frontendowej, co pozwala użytkownikom z rolą Author i wyżej na przeprowadzanie ataków Stored Cross-Site Scripting, które wykonują się w przeglądarce każdego odwiedzającego galerię, w tym administratorów.
- CVE-2026-81154Nieznane
Wtyczka Robo Gallery dla WordPressa przed wersją 5.2.6 nie dezynfekuje i nie escapuje tekstu alternatywnego obrazów przed jego wyświetleniem w jednym z układów galerii, co pozwala użytkownikom z rolą Autora i wyżej na przeprowadzenie ataków Stored Cross-Site Scripting, które wykonują się w przeglądarce każdego użytkownika oglądającego galerię, w tym administratorów.
- CVE-2026-105887Średnie
Podatność na trwały XSS w pluginie Robo Gallery (wersje do 5.1.6) spowodowana brakiem neutralizacji danych wejściowych podczas generowania strony.
- CVE-2026-4300Średnie
Wtyczka Robo Gallery dla WordPressa do wersji 5.1.3 jest podatna na Stored Cross-Site Scripting poprzez ustawienie 'Loading Label'. Wtyczka używa wzorca `|***...***|` do osadzania surowego kodu JavaScript w skonfigurowanych obiektach JSON. Uwierzytelnieni atakujący z dostępem na poziomie Autora mogą wstrzyknąć dowolny skrypt, który wykona się przy każdym wyświetleniu strony z galerią.
Oryginalny opis (angielski, źródło NVD)
The Robo Gallery WordPress plugin before 5.2.6 does not sanitise and escape some of its image settings before outputting them in a gallery page, allowing users with the Author role and above to perform Stored Cross-Site Scripting attacks that execute in the browser of any visitor viewing the gallery, including administrators, even where the unfiltered_html capability is disallowed such as on multisite.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS