CVE-2026-81156
NieznaneStreszczenie
Wtyczka Robo Gallery (przed wersją 5.2.6) nie sanityzuje i nie escapuje niektórych ustawień galerii przed ich wyświetleniem na ekranie edycji galerii, co pozwala użytkownikom z rolą Contributor i wyżej na przechowywanie JavaScript, który wykonuje się w kontekście administratora otwierającego galerię do edycji.
Ocena ryzyka
Atakujący z niższymi uprawnieniami może wykonać złośliwy skrypt w przeglądarce administratora, co może prowadzić do przejęcia sesji, kradzieży danych lub modyfikacji treści strony.
Rekomendacja
Zaktualizuj wtyczkę Robo Gallery do wersji 5.2.6 lub nowszej, która zawiera poprawki bezpieczeństwa. Dodatkowo ogranicz uprawnienia użytkowników i stosuj zasadę najmniejszych uprawnień.
Inne podatności w Robo Gallery
Zobacz wszystkie- CVE-2026-81155Nieznane
Wtyczka Robo Gallery (przed wersją 5.2.6) nie sanityzuje i nie escapuje ustawienia galerii przed wyświetleniem go na stronie frontendowej, co pozwala użytkownikom z rolą Author i wyżej na przeprowadzanie ataków Stored Cross-Site Scripting, które wykonują się w przeglądarce każdego odwiedzającego galerię, w tym administratorów.
- CVE-2026-81154Nieznane
Wtyczka Robo Gallery dla WordPressa przed wersją 5.2.6 nie dezynfekuje i nie escapuje tekstu alternatywnego obrazów przed jego wyświetleniem w jednym z układów galerii, co pozwala użytkownikom z rolą Autora i wyżej na przeprowadzenie ataków Stored Cross-Site Scripting, które wykonują się w przeglądarce każdego użytkownika oglądającego galerię, w tym administratorów.
- CVE-2026-81153Nieznane
Wtyczka Robo Gallery dla WordPressa przed wersją 5.2.6 nie dezynfekuje i nie escapuje niektórych ustawień obrazów przed ich wyświetleniem na stronie galerii, co pozwala użytkownikom z rolą Autora i wyżej na przeprowadzenie ataków Stored Cross-Site Scripting, które wykonują się w przeglądarce każdego odwiedzającego galerię, w tym administratorów, nawet gdy możliwość unfiltered_html jest zabroniona, np. w multisite.
- CVE-2026-105887Średnie
Podatność na trwały XSS w pluginie Robo Gallery (wersje do 5.1.6) spowodowana brakiem neutralizacji danych wejściowych podczas generowania strony.
- CVE-2026-4300Średnie
Wtyczka Robo Gallery dla WordPressa do wersji 5.1.3 jest podatna na Stored Cross-Site Scripting poprzez ustawienie 'Loading Label'. Wtyczka używa wzorca `|***...***|` do osadzania surowego kodu JavaScript w skonfigurowanych obiektach JSON. Uwierzytelnieni atakujący z dostępem na poziomie Autora mogą wstrzyknąć dowolny skrypt, który wykona się przy każdym wyświetleniu strony z galerią.
Oryginalny opis (angielski, źródło NVD)
The Robo Gallery WordPress plugin before 5.2.6 does not sanitise and escape some of its gallery settings before outputting them on the gallery edit screen, allowing users with the Contributor role and above to store JavaScript that executes in the context of an administrator who opens the gallery for editing.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS