CVE-2026-12982
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 6 - wyżej niż 6% wszystkich znanych CVE
Streszczenie
Wtyczka Document Gallery dla WordPressa przed wersją 5.1.1 nieprawidłowo oczyszcza i ucieka dane wejściowe użytkownika przed odbiciem ich w odpowiedzi nieuwierzytelnionej akcji AJAX, co prowadzi do podatności na Reflected Cross-Site Scripting, którą można wykorzystać przeciwko nieuwierzytelnionym użytkownikom.
Ocena ryzyka
Atakujący może wysłać ofierze specjalnie spreparowany link, który po kliknięciu wykonuje złośliwy skrypt w jej przeglądarce, potencjalnie kradnąc sesję lub dane.
Rekomendacja
Zaktualizuj wtyczkę Document Gallery do wersji 5.1.1 lub nowszej.
Inne podatności w Document Gallery
Zobacz wszystkie- CVE-2026-74920Wysokie
Wtyczka WordPress Document Gallery w wersjach do 5.1.1 włącznie nieprawidłowo sanityzuje i escapuje dane wejściowe użytkownika przed odzwierciedleniem ich w atrybucie HTML w odpowiedzi nieuwierzytelnionej akcji AJAX. Prowadzi to do podatności Reflected Cross-Site Scripting, którą można wykorzystać przeciwko dowolnemu odwiedzającemu, w tym zalogowanemu administratorowi.
- CVE-2026-77114Wysokie
Wtyczka Document Gallery dla WordPressa w wersjach do 5.1.1 włącznie jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez treść żądania akcji 'dg_thumber_webhook'. Z powodu niewystarczającej sanityzacji danych wejściowych i braku escapowania danych wyjściowych nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się u użytkownika odwiedzającego zainfekowaną stronę. Wykorzystanie wymaga włączenia logowania w ustawieniach zaawansowanych wtyczki, co jest domyślne tylko gdy WP_DEBUG ma wartość true; w przeciwnym razie administrator musi je włączyć ręcznie.
- CVE-2026-39781Wysokie
Wtyczka WordPress Document Gallery (document-gallery) w wersjach do 5.1.1 zawiera podatność typu Reflected XSS wynikającą z niewłaściwej neutralizacji danych wejściowych podczas generowania stron internetowych.
- CVE-2026-57695Wysokie
Wtyczka Document Gallery dla WordPressa zawiera podatność na odbity atak XSS (Cross-site Scripting) spowodowaną niewłaściwą neutralizacją danych wejściowych podczas generowania stron. Luka występuje we wszystkich wersjach do 5.1.0 włącznie.
Oryginalny opis (angielski, źródło NVD)
The Document Gallery WordPress plugin before 5.1.1 does not properly sanitise and escape user input before reflecting it back in the response of an unauthenticated AJAX action, leading to a Reflected Cross-Site Scripting vulnerability which can be exploited against unauthenticated users.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS