CVE-2026-4085 in Easy Social Photos Gallery Plugin
Сводка
по VulDB • 19.05.2026
Плагин Easy Social Photos Gallery для WordPress уязвим к Stored Cross-Site Scripting (XSS) через атрибут шорткода 'wrapper_class' шорткода 'my-instagram-feed' во всех версиях вплоть до 3.1.2 включительно. Это связано с недостаточной санитизацией входных данных и экранированием выходных данных для атрибутов, предоставляемых пользователем. В частности, плагин использует функцию sanitize_text_field() вместо esc_attr() при выводе атрибута 'wrapper_class' внутри HTML-атрибута class, заключенного в двойные кавычки. Поскольку sanitize_text_field() не кодирует двойные кавычки, злоумышленник может выйти за пределы атрибута class и внедрить произвольные обработчики событий HTML. Это позволяет атакующим с аутентифицированным доступом уровня «contributor» и выше внедрять произвольные веб-скрипты на страницы, которые будут выполняться всякий раз, когда пользователь получит доступ к внедренной странице.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.