CVE-2026-104646: Stored XSS в WordPress-плагине Image Photo Gallery Final Tiles Grid

ЗАГОЛОВОК CVE-2026-104646: Stored XSS в WordPress-плагине Image Photo Gallery Final Tiles Grid ===PREVIEW=== В WordPress-плагине Image Photo Gallery Final Tiles Grid до версии 3.6.14 обнаружена уязвимость хранимого межсайтового скриптинга (Stored XSS). Пользователи с правами Contributor и выше могут внедрить произвольный JavaScript через атрибуты шорткода галереи, который затем выполняется в сессии любого посетителя записи, включая администратора. Критичность высокая: для эксплуатации не требуется владеть галереей — достаточно сослаться на любую существующую. ===DETAIL === В экосистеме WordPress-плагинов регулярно появляются уязвимости, связанные с недостаточной очисткой пользовательских данных. Очередной такой случай затронул популярный плагин для создания фотогалерей Image Photo Gallery Final Tiles Grid. Уязвимость получила идентификатор CVE-2026-104646 и позволяет пользователям с невысокими привилегиями внедрять вредоносный код на страницы сайта.

Подробности

Проблема затрагивает все версии плагина Image Photo Gallery Final Tiles Grid до 3.6.14 включительно. Причина — отсутствие санитизации нескольких значений конфигурации галереи, которые можно переопределить через атрибуты шорткода галереи. Эти значения не очищаются перед выводом во встроенный блок скрипта (inline script), что открывает возможность для инъекции произвольного JavaScript. Тип уязвимости — хранимый межсайтовый скриптинг (Stored XSS), классифицируемый по CWE-79. Атака возможна со стороны аутентифицированного пользователя, обладающего правами уровня Contributor и выше. Ключевая особенность: злоумышленнику не нужно быть владельцем галереи — он может сослаться на любую уже существующую на сайте галерею. Внедрённый скрипт выполняется в браузере любого пользователя, просматривающего запись, включая администратора, который предпросматривает отправленный на модерацию материал. Это делает сценарий особенно опасным, так как может привести к краже сессионных cookie, подмене содержимого страницы или выполнению действий от имени администратора. Значение CVSS в записи CVE не указано.

Что делать

Основная рекомендация — как можно скорее обновить плагин Image Photo Gallery Final Tiles Grid до версии 3.6.14 или выше, где проблема устранена. Если обновление по каким-либо причинам невозможно, следует рассмотреть временные митигации: - Ограничить права пользователей: пересмотреть роли и не выдавать уровень Contributor и выше тем, кому он не необходим. - Включить модерацию и минимизировать число администраторов, выполняющих предпросмотр пользовательских материалов. - Применить WAF-правила для фильтрации подозрительных значений в атрибутах шорткодов галереи. - Регулярно проверять существующие галереи и содержимое записей на наличие внедрённых скриптов. Также стоит провести аудит учётных записей с правами Contributor+ и проверить логи на предмет подозрительной активности.

Итог

CVE-2026-104646 — показательный пример того, как недостаточная очистка данных в плагине открывает путь для Stored XSS даже пользователям с ограниченными правами. Отсутствие требования владеть галереей существенно расширяет поверхность атаки. Владельцам сайтов на WordPress с установленным Image Photo Gallery Final Tiles Grid рекомендуется незамедлительно обновиться до версии 3.6.14 и пересмотреть политику выдачи прав Contributor.

Источник: CVE Project (cvelistV5)