CVE-2026-122059

Nome do Software Vulnerável e Versões Afetadas WP ImageViewer versões anteriores a 3.0.3

Descrição A sanitização insuficiente de entrada e a escape de saída inadequada permitem que atacantes autenticados com nível de acesso de assinante ou superior realizem Cross-Site Scripting Baseado em DOM Armazenado. Isso ocorre por meio do parâmetro img.alt, permitindo a injeção de scripts web arbitrários que são executados quando um usuário visita a página afetada. Para que usuários de nível de assinante explorem isso, um plugin de conteúdo de front-end como o bbPress deve estar ativo para fornecer a capacidade bbp participant. Atacantes com nível de acesso de colaborador ou superior podem explorar isso se o site permitir que eles enviem HTML de imagem no conteúdo da postagem. Em instalações padrão onde isso não está configurado, é necessário acesso de nível personalizado ou superior.

Recomendações Atualize o WP ImageViewer para a versão 3.0.3 ou posterior.