CVE-2026-4085

Name of the Vulnerable Software and Affected Versions Easy Social Photos Gallery versões anteriores a 3.1.3

Description O Cross-Site Scripting Armazenado é possível devido à sanitização de entrada e escape de saída insuficientes de atributos fornecidos pelo usuário. O plugin utiliza a função sanitize text field() em vez de esc attr() ao exibir o atributo wrapper class do shortcode 'my-instagram-feed' dentro de um atributo de classe HTML entre aspas duplas. Como a função sanitize text field() não codifica aspas duplas, atacantes autenticados com nível de acesso de contribuidor ou superior podem romper o atributo de classe para injetar manipuladores de eventos HTML e scripts web arbitrários que são executados quando um usuário visita a página afetada.

Recommendations Atualize para uma versão posterior a 3.1.2. Como medida paliativa temporária, restrinja o uso do atributo wrapper class no shortcode 'my-instagram-feed'.