CVE-2026-121976 Cross-site scripting (XSS) almacenado en Modula Image Gallery vía el parámetro 'items'
El plugin Modula para WordPress es vulnerable a XSS almacenado por el parámetro 'items' en versiones hasta la 3.0.17, por sanitización insuficiente del campo 'link' de cada imagen en el handler REST save_merged_items() y en Images\Adapter::normalize_item_row(), combinado con un escape de salida que solo aplica esc_attr() al href y no elimina el esquema 'javascript:'. Atacantes autenticados con nivel Author o superior pueden inyectar scripts web arbitrarios que se ejecutan cuando un usuario hace clic en la…
CVSS 3.1
- Probabilidad de explotación · EPSS del 09/110,3 % · percentil 25
- Explotada activamenteNo confirmada
- Exploit públicoNo conocido
Afectados
wpchill Modula Image Gallery – Photo Grid & Video Gallery
hasta 3.0.17
Qué hacer
- Verificá si usás Modula Image Gallery – Photo Grid & Video Gallery y en qué versión.
- Actualizá a la versión corregida que indique el fabricante en su aviso o aplicá su mitigación.
- Revisá registros y accesos de los sistemas expuestos para descartar un uso previo.
Calculadora CVSS
CVSS 3.1 · 6.4 MEDIA
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N
- Vector de ataqueRed
- Complejidad del ataqueBaja
- Privilegios requeridosBajos
- Interacción del usuarioNinguna
- AlcanceCambiado
- ConfidencialidadBaja
- IntegridadBaja
- DisponibilidadNinguna
Descripción original
The Modula plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'items' parameter in versions up to, and including, 3.0.17 This is due to insufficient input sanitization of the per-image 'link' field in the save_merged_items() REST handler and Images\Adapter::normalize_item_row(), which preserves unknown keys verbatim, combined with output escaping in Modula_Helper::generate_attributes() that applies only esc_attr() to the resulting anchor href and does not strip the 'javascript:' URL scheme. This makes it possible for authenticated attackers, with Author-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page and clicks the gallery tile.
Referencias (8)
- www.wordfence.com/threat-intel/vulnerabilities/id/91d3cbc2-00ca-4384-a52d-84fe2f0328b3?so…
- plugins.trac.wordpress.org/browser/modula-best-grid-gallery/tags/3.0.17/includes/v2/image…
- plugins.trac.wordpress.org/browser/modula-best-grid-gallery/tags/3.0.17/includes/v2/rest/…
- plugins.trac.wordpress.org/browser/modula-best-grid-gallery/tags/3.0.17/includes/v2/class…
- plugins.trac.wordpress.org/browser/modula-best-grid-gallery/tags/3.0.17/includes/public/s…
- plugins.trac.wordpress.org/browser/modula-best-grid-gallery/tags/3.0.17/includes/core/hel…
- plugins.trac.wordpress.org/browser/modula-best-grid-gallery/
- plugins.trac.wordpress.org/changeset?reponame=&new=3787971%40modula-best-grid-gallery%2Ft…
Resumen traducido automáticamente de la descripción original. Fuente: Nureq Monitor. Cómo funciona.