CVE-2026-118783 Cross-site scripting (XSS) almacenado para colaboradores mediante atributo de shortcode en All-in-One Video…
El plugin All-in-One Video Gallery de WordPress, anterior a 5.0.0, no valida ni escapa algunos atributos de sus shortcodes antes de mostrarlos en una página o entrada donde se inserta el shortcode. Esto podría permitir a usuarios con rol de colaborador o superior realizar ataques de cross-site scripting almacenado.
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,2 % · percentil 14
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
All-in-One Video Gallery
hasta antes de 5.0.0
Qué hacer
- Verificá si usás All-in-One Video Gallery y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 6.8 MEDIA
CVSS:3.1/AV:N/AC:L/PR:H/UI:R/S:U/C:H/I:H/A:H
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosAltos
- Interacción del usuarioRequerida
- AlcanceSin cambio
- ConfidencialidadAlta
- IntegridadAlta
- DisponibilidadAlta
Descripción original
The All-in-One Video Gallery WordPress plugin before 5.0.0 does not validate and escape some of its shortcode attributes before outputting them back in a page/post where the shortcode is embedded, which could allow users with the contributor role and above to perform Stored Cross-Site Scripting attacks.
Referencias (1)
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.