CVE-2026-9239 in Meow Gallery Plugin
Sumário
de VulDB • 30/10/2026
O plugin Meow Gallery para o WordPress é vulnerável a Stored Cross-Site Scripting (XSS) via Texto Alternativo de Anexos (atributo `aria-label`) em todas as versões até, e incluindo, a 5.5.1 devido à sanitização insuficiente da entrada e ao escape inadequado na saída. Isso permite que atacantes autenticados, com acesso nível autor ou superior, injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar uma página contaminada. O caminho de código vulnerável só é acessível quando um item da galeria é renderizado como um link (ou seja, `link_href` não está vazio), e a exploração depende do fato de que o método `sanitize_text_field()` do WordPress remove tags delimitadas por colchetes angulares (`< >`) mas preserva as aspas duplas, permitindo que o atacante escape do contexto do atributo `aria-label` e injete atributos manipuladores de eventos, como `onclick`.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.