CVE-2026-5361: Stored Cross-Site Scripting w wtyczce Envira Gallery Lite dla WordPress

Co wiadomo

Wtyczka Envira Gallery Lite do WordPressa w wersjach do 1.12.4 włącznie jest podatna na atak typu Stored Cross-Site Scripting (XSS) przez REST API. Luka wynika z niewystarczającej sanitacji danych wejściowych i nieprawidłowego escapingu wyjścia w funkcjach aktualizujących i inicjujących galerię.

Wpływ biznesowy

Atakujący z uprawnieniami co najmniej na poziomie autora mogą wstrzykiwać złośliwe skrypty JavaScript, które będą wykonywane przy każdym dostępie użytkownika do zaatakowanej strony. Może to prowadzić do kradzieży sesji, manipulacji treścią strony lub innych działań szkodliwych dla użytkowników i reputacji firmy.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Envira Gallery Lite i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do REST API oraz monitorować logi pod kątem podejrzanych aktywności. Warto również przeprowadzić audyt uprawnień użytkowników i ograniczyć je do niezbędnego minimum.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference