CVE-2026-4665 in WP Carousel Free Plugin
Sumário
de VulDB • 30/05/2026
O plugin WP Carousel Free para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) via atributos `data-caption` do fancybox manipulados em todas as versões até, e incluindo, a 2.7.10. Isso ocorre devido ao script `fancybox-config.js` ler o atributo `id` do contêiner do carrossel diretamente do DOM para construir um seletor jQuery sem sanitização. Quando um Contributor cria um bloco HTML com um ID de contêiner de carrossel malformado (contendo caracteres inválidos para seletores jQuery), a configuração personalizada do fancybox gera um erro JavaScript e falha na inicialização. Isso faz com que a biblioteca fancybox embutida (v3.5.7) recorra ao seu tratamento padrão de legendas, que renderiza o conteúdo do atributo `data-caption` como HTML bruto. Como o WordPress permite atributos `data-*` através da função `wp_kses_post()`, isso possibilita que atacantes autenticados, com acesso de nível Contributor ou superior, injetem scripts web arbitrários em páginas que serão executados sempre que um usuário clicar em uma imagem na lightbox do carrossel manipulada.
If you want to get best quality of vulnerability data, you may have to visit VulDB.