CVE-2026-9239 in Meow Gallery Plugin
Résumé
par VulDB • 30/10/2026
Le plugin Meow Gallery pour WordPress est vulnérable à un Stored Cross-Site Scripting (XSS) via le texte alternatif des pièces jointes (attribut `aria-label`) dans toutes les versions jusqu'à la 5.5.1 incluse, en raison d'une désinfection insuffisante des entrées et d'un échappement incorrect des sorties. Cela permet aux attaquants authentifiés disposant d’un accès de niveau auteur ou supérieur d’injecter des scripts web arbitraires dans les pages qui s’exécuteront chaque fois qu’un utilisateur accède à une page injectée. Le chemin de code vulnérable n’est accessible que lorsqu’un élément de la galerie est rendu sous forme de lien (c'est-à-dire lorsque `link_href` n’est pas vide), et l’exploitation repose sur le fait que la fonction WordPress `sanitize_text_field()` supprime les balises entre crochets angulaires mais conserve les guillemets doubles, permettant à un attaquant de sortir du contexte de l'attribut `aria-label` et d'injection des attributs de gestionnaires d'événements tels que `onclick`.
Once again VulDB remains the best source for vulnerability data.