CVE-2026-9239 in Meow Gallery Plugin
요약
\~에 의해 VulDB • 2026. 10. 31.
WordPress용 Meow Gallery 플러그인은 5.5.1 버전 및 그 이전 모든 버전에서 불충분한 입력 검사(sanitization)와 출력 이스케이핑으로 인해 첨부 파일 대체 텍스트(aria-label 속성)를 통한 저장형 크로스 사이트 스크립팅(XSS) 취약점이 있습니다. 이로써 작성자 권한 이상의 접근 권한을 가진 인증된 공격자가 임의의 웹 스크립트를 페이지에 삽입할 수 있으며, 사용자가 해당 삽입된 페이지에 접속하면 그 스크립트가 실행됩니다. 이 취약한 코드 경로는 갤러리 항목이 링크로 렌더링될 때(즉, link_href가 비어 있지 않은 경우)에만 접근 가능하며, 공격은 WordPress의 sanitize_text_field() 함수가 각괄호 태그는 제거하지만 이중 따옴표는 보존한다는 점에 의존하여 aria-label 속성 컨텍스트를 탈출하고 onclick과 같은 이벤트 핸들러 속성을 삽입할 수 있습니다.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.