Plugin Meow Gallery do WordPress permite XSS armazenado no texto alternativo de anexos
O plugin Meow Gallery, até à versão 5.5.1, permite a utilizadores autenticados com perfil de Autor ou superior injetar scripts através do texto alternativo (aria-label) de anexos. CVSS 6,4.
- Identificador: CVE-2026-9239
- Publicado em: 2026-10-30
- Pontuação CVSS (Common Vulnerability Scoring System) versão 3.1: 6.4 (MEDIUM)
Descrição (texto original em inglês):
The Meow Gallery plugin for WordPress is vulnerable to Stored Cross-Site Scripting via Attachment Alt Text (aria-label attribute) in all versions up to, and including, 5.5.1 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with author-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. (texto reduzido: os pormenores técnicos da exploração não são reproduzidos)
- Prova de conceito (PoC) público: identificada pela ferramenta de pesquisa.
- Técnicas MITRE ATT&CK (mapeamento do site, com base no tipo de falha descrito no NVD): T1190, Exploração de aplicação exposta à Internet (Exploit Public-Facing Application); T1059.007, JavaScript
Fontes
- Registo do CVE no NVDnvd.nist.gov
- Referência (plugins.trac.wordpress.org)plugins.trac.wordpress.org
- Referência (plugins.trac.wordpress.org)plugins.trac.wordpress.org
- Referência (plugins.trac.wordpress.org)plugins.trac.wordpress.org
- Técnica MITRE ATT&CK T1190attack.mitre.org
- Técnica MITRE ATT&CK T1059.007attack.mitre.org
Esta página resume as fontes indicadas. Confirme os detalhes técnicos e as versões afetadas na fonte primária antes de agir.