CVE-2026-81155
NieznaneStreszczenie
Wtyczka Robo Gallery (przed wersją 5.2.6) nie sanityzuje i nie escapuje ustawienia galerii przed wyświetleniem go na stronie frontendowej, co pozwala użytkownikom z rolą Author i wyżej na przeprowadzanie ataków Stored Cross-Site Scripting, które wykonują się w przeglądarce każdego odwiedzającego galerię, w tym administratorów.
Ocena ryzyka
Atakujący może wykonać złośliwy skrypt w przeglądarkach wszystkich odwiedzających stronę, co może prowadzić do kradzieży danych, przejęcia sesji lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaktualizuj wtyczkę Robo Gallery do wersji 5.2.6 lub nowszej, która zawiera poprawki bezpieczeństwa. Dodatkowo ogranicz uprawnienia użytkowników i stosuj zasadę najmniejszych uprawnień.
Inne podatności w Robo Gallery
Zobacz wszystkie- CVE-2026-81156Nieznane
Wtyczka Robo Gallery (przed wersją 5.2.6) nie sanityzuje i nie escapuje niektórych ustawień galerii przed ich wyświetleniem na ekranie edycji galerii, co pozwala użytkownikom z rolą Contributor i wyżej na przechowywanie JavaScript, który wykonuje się w kontekście administratora otwierającego galerię do edycji.
- CVE-2026-81154Nieznane
Wtyczka Robo Gallery dla WordPressa przed wersją 5.2.6 nie dezynfekuje i nie escapuje tekstu alternatywnego obrazów przed jego wyświetleniem w jednym z układów galerii, co pozwala użytkownikom z rolą Autora i wyżej na przeprowadzenie ataków Stored Cross-Site Scripting, które wykonują się w przeglądarce każdego użytkownika oglądającego galerię, w tym administratorów.
- CVE-2026-81153Nieznane
Wtyczka Robo Gallery dla WordPressa przed wersją 5.2.6 nie dezynfekuje i nie escapuje niektórych ustawień obrazów przed ich wyświetleniem na stronie galerii, co pozwala użytkownikom z rolą Autora i wyżej na przeprowadzenie ataków Stored Cross-Site Scripting, które wykonują się w przeglądarce każdego odwiedzającego galerię, w tym administratorów, nawet gdy możliwość unfiltered_html jest zabroniona, np. w multisite.
- CVE-2026-105887Średnie
Podatność na trwały XSS w pluginie Robo Gallery (wersje do 5.1.6) spowodowana brakiem neutralizacji danych wejściowych podczas generowania strony.
- CVE-2026-4300Średnie
Wtyczka Robo Gallery dla WordPressa do wersji 5.1.3 jest podatna na Stored Cross-Site Scripting poprzez ustawienie 'Loading Label'. Wtyczka używa wzorca `|***...***|` do osadzania surowego kodu JavaScript w skonfigurowanych obiektach JSON. Uwierzytelnieni atakujący z dostępem na poziomie Autora mogą wstrzyknąć dowolny skrypt, który wykona się przy każdym wyświetleniu strony z galerią.
Oryginalny opis (angielski, źródło NVD)
The Robo Gallery WordPress plugin before 5.2.6 does not sanitise and escape a gallery setting before outputting it on a frontend page, allowing users with the Author role and above to perform Stored Cross-Site Scripting attacks that execute in the browser of any visitor viewing a gallery, including administrators.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS