Diese Seite wurde noch nicht in Ihre Sprache übersetzt. Inhalte werden auf Englisch angezeigt, während wir daran arbeiten.
💡 Keep dependencies up to date — most exploits target known, patchable vulnerabilities.
CVE-2026-5361: XSS in Envira Gallery Lite WordPress Plugin
Plattform
wordpress
Komponente
envira-gallery-lite
Behoben in
1.12.5
CVE-2026-5361 describes a Stored Cross-Site Scripting (XSS) vulnerability affecting the Envira Gallery Lite plugin for WordPress. This vulnerability allows attackers to inject malicious scripts into the gallery, potentially leading to unauthorized code execution within a user's browser. The vulnerability impacts versions 1.0.0 through 1.12.4 and is resolved in version 1.12.5.
Erkenne diese CVE in deinem Projekt
Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.
Auswirkungen und Angriffsszenarienwird übersetzt…
An attacker exploiting this XSS vulnerability could inject arbitrary JavaScript code into the Envira Gallery Lite plugin. This code could then be executed in the browsers of users viewing the affected gallery. The impact ranges from simple defacement and redirection to more severe consequences like stealing session cookies, phishing attacks, or even gaining control of the user's WordPress account. The REST API endpoint is a common target for such attacks, and successful exploitation could impact a significant number of WordPress sites using the Envira Gallery Lite plugin. The lack of proper sanitization of the 'arrows' parameter is the root cause, allowing attackers to bypass security measures.
Ausnutzungskontextwird übersetzt…
CVE-2026-5361 was published on 2026-05-14. Severity is rated as Medium (CVSS 6.4). No public exploits or active campaigns have been reported as of this writing. The vulnerability is not currently listed on KEV or EPSS, indicating a low to medium probability of exploitation. Refer to the official Envira Gallery Lite advisory for further details.
Bedrohungsanalyse
Exploit-Status
CISA SSVC
CVSS-Vektor
Was bedeuten diese Metriken?
- Attack Vector
- Netzwerk — aus der Ferne über das Internet ausnutzbar. Kein physischer oder lokaler Zugriff erforderlich.
- Attack Complexity
- Niedrig — keine besonderen Bedingungen erforderlich. Zuverlässig ausnutzbar.
- Privileges Required
- Niedrig — jedes gültige Benutzerkonto ist ausreichend.
- User Interaction
- Keine — automatischer und lautloser Angriff. Das Opfer tut nichts.
- Scope
- Geändert — Angriff kann über die anfällige Komponente hinaus auf andere Systeme übergreifen.
- Confidentiality
- Niedrig — partieller oder indirekter Zugriff auf einige Daten.
- Integrity
- Niedrig — Angreifer kann einige Daten mit begrenztem Umfang ändern.
- Availability
- Keine — kein Verfügbarkeitseinfluss.
Betroffene Software
Schwachstellen-Klassifikation (CWE)
Zeitleiste
- Reserviert
- Veröffentlicht
- Geändert
Mitigation und Workaroundswird übersetzt…
The primary mitigation for CVE-2026-5361 is to upgrade the Envira Gallery Lite plugin to version 1.12.5 or later. If immediate upgrading is not possible due to compatibility issues or testing requirements, consider implementing a Web Application Firewall (WAF) rule to block requests to the vulnerable REST API endpoint with suspicious parameters. Carefully review any custom code interacting with the gallery data to ensure proper input sanitization and output escaping. Monitor WordPress logs for unusual activity or attempts to access the REST API with potentially malicious payloads.
So beheben
Aktualisieren Sie auf Version 1.12.5 oder eine neuere gepatchte Version
Häufig gestellte Fragenwird übersetzt…
What is CVE-2026-5361 — XSS in Envira Gallery Lite?
CVE-2026-5361 is a Stored Cross-Site Scripting (XSS) vulnerability in the Envira Gallery Lite WordPress plugin, allowing attackers to inject malicious scripts via the REST API.
Am I affected by CVE-2026-5361 in Envira Gallery Lite?
You are affected if you are using Envira Gallery Lite versions 1.0.0 through 1.12.4. Check your plugin version and update if necessary.
How do I fix CVE-2026-5361 in Envira Gallery Lite?
Upgrade the Envira Gallery Lite plugin to version 1.12.5 or later. Consider WAF rules as a temporary mitigation if upgrading is not immediately possible.
Is CVE-2026-5361 being actively exploited?
As of now, there are no reports of active exploitation or public exploits for CVE-2026-5361, but vigilance is still advised.
Where can I find the official Envira Gallery Lite advisory for CVE-2026-5361?
Refer to the official Envira Gallery Lite website and WordPress plugin repository for the latest advisory and update information.
Ist dein Projekt betroffen?
Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.
Erkenne diese CVE in deinem Projekt
Lade deine Abhängigkeitsdatei hoch und erfahre sofort, ob dich diese und andere CVEs treffen.
Scannen Sie jetzt Ihr WordPress-Projekt – kein Konto
Laden Sie ein Manifest hoch (composer.lock, package-lock.json, WordPress Plugin-Liste…) oder fügen Sie Ihre Komponentenliste ein. Sie erhalten sofort einen Schwachstellenbericht. Das Hochladen einer Datei ist nur der Anfang: Mit einem Konto erhalten Sie kontinuierliche Überwachung, Slack/email-Benachrichtigungen, Multi-Projekt- und White-Label-Berichte.
Abhängigkeitsdatei hier ablegen
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...