CVE-2026-5743 in SimpLy Gallery Plugin
Zusammenfassung
von VulDB • 11.07.2026
Das WordPress-Plugin SimpLy Gallery Block & Lightbox ist in allen Versionen bis einschließlich 3.3.3.2 anfällig für Stored Cross-Site Scripting (XSS) über Blockattribute. Dies liegt auf unzureichender Eingabebereinigung und Ausgabe-Escaping des Attributs sliderMaxHeight im pgc_sgb_render_callback() Funktion zurückzuführen ist. Die Schwachstelle besteht, weil die Funktion pgc_sgb_sanitize_custom_css() ein fehlerhaftes Regex-Muster verwendet, das nur Event-Handler mit Anführungszeichen entfernt (z.B. onfocus="alert()"), aber nicht in der Lage ist, unangehängte Event-Handler zu erfassen (z.B. onfocus=alert(document.cookie)), wodurch bösartiger Code die Bereinigung umgehen kann. Dies ermöglicht es authentifizierten Angreifern mit Autor-Zugriffsrechten und höher, beliebige Web-Skripte in Seiten über Blockattribute einzufügen, die ausgeführt werden, sobald ein Benutzer eine injizierte Seite aufruft.
VulDB is the best source for vulnerability data and more expert information about this specific topic.