CVE-2026-107178

ŚrednieCVSS 6.8

Opublikowano: 14/10/2026(UTC)Zaktualizowano: 14/10/2026(UTC)Przetłumaczono: 14/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.20%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Image Photo Gallery Final Tiles Grid przed wersją 3.6.16 nie escapuje wartości konfiguracji lightboxa galerii przed wypisaniem ich do skryptu inline na każdej stronie osadzającej galerię. Umożliwia to użytkownikom z uprawnieniami współtwórcy i wyższymi zapisanie kodu JavaScript, który wykonuje się w przeglądarce każdego odwiedzającego galerię, w tym administratorów.

Ocena ryzyka

Atakujący może wykonać dowolny kod JavaScript w sesji administratora, co może prowadzić do przejęcia konta, kradzieży danych lub modyfikacji witryny. Ryzyko jest wysokie ze względu na możliwość eskalacji uprawnień.

Rekomendacja

Zaktualizuj wtyczkę Image Photo Gallery Final Tiles Grid do wersji 3.6.16 lub nowszej. Sprawdź, czy w witrynie nie ma już złośliwych skryptów.

Inne podatności w Image Photo Gallery Final Tiles Grid WordPress plugin

CVE-2025-13693Średnie
Wtyczka Image Photo Gallery Final Tiles Grid dla WordPressa w wersjach do 3.6.8 włącznie jest podatna na przechowywany cross-site scripting (Stored XSS) poprzez ustawienie 'Custom scripts'. Niedostateczna sanityzacja i ucieczka danych wejściowych pozwalają uwierzytelnionym użytkownikom z rolą Author lub wyższą wstrzykiwać dowolne skrypty do stron.

Oryginalny opis (angielski, źródło NVD)

The Image Photo Gallery Final Tiles Grid WordPress plugin before 3.6.16 does not escape gallery lightbox configuration values before printing them into an inline script on every page that embeds the gallery, allowing users with contributor-level access and above to store JavaScript that executes in the browser of anyone who views the gallery, including administrators.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS