CVE-2026-5361: XSS en Envira Gallery – Image Photo Gallery
Plataforma
wordpress
Componente
envira-gallery-lite
Corregido en
1.12.5
La vulnerabilidad CVE-2026-5361 es una falla de Cross-Site Scripting (XSS) de tipo almacenamiento detectada en el plugin Envira Gallery Lite para WordPress. Esta vulnerabilidad permite a un atacante inyectar código JavaScript malicioso a través de la API REST, comprometiendo potencialmente la seguridad de los usuarios. Afecta a las versiones del plugin hasta la 1.12.4, y se ha solucionado en la versión 1.12.5.
Detecta esta CVE en tu proyecto
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Impacto y Escenarios de Ataque
Un atacante puede explotar esta vulnerabilidad para inyectar scripts maliciosos en las páginas de la galería Envira Gallery. Estos scripts pueden robar cookies de sesión, redirigir a los usuarios a sitios web maliciosos, o modificar el contenido de la página. Dado que la vulnerabilidad reside en la API REST, un atacante podría explotarla enviando solicitudes maliciosas a la API, sin necesidad de interacción directa del usuario, lo que aumenta el riesgo de ataques automatizados. La inyección de código puede afectar la confidencialidad, integridad y disponibilidad de la información del usuario y del sitio web.
Contexto de Explotación
La vulnerabilidad CVE-2026-5361 fue publicada el 13 de mayo de 2026. La severidad se evalúa como MEDIA (CVSS 6.4). No se ha reportado públicamente la explotación activa de esta vulnerabilidad en campañas dirigidas, pero la disponibilidad de la API REST y la facilidad de inyección de XSS la convierten en un objetivo potencial. Se recomienda monitorear los registros del servidor y las herramientas de detección de intrusiones en busca de actividad sospechosa.
Inteligencia de Amenazas
Estado del Exploit
CISA SSVC
Vector CVSS
¿Qué significan estas métricas?
- Attack Vector
- Red — explotable remotamente por internet. Sin acceso físico ni local. Mayor superficie de ataque.
- Attack Complexity
- Baja — sin condiciones especiales. El atacante puede explotar de forma confiable sin configuraciones raras.
- Privileges Required
- Bajo — cualquier cuenta de usuario válida es suficiente.
- User Interaction
- Ninguna — el ataque es automático y silencioso. La víctima no hace nada.
- Scope
- Cambiado — el ataque puede pivotar a otros sistemas más allá del componente vulnerable.
- Confidentiality
- Bajo — acceso parcial o indirecto a algunos datos.
- Integrity
- Bajo — el atacante puede modificar algunos datos con alcance limitado.
- Availability
- Ninguno — sin impacto en disponibilidad.
Software Afectado
Clasificación de Debilidad (CWE)
Cronología
- Reservado
- Publicada
- Modificada
Mitigación y Workarounds
La solución principal es actualizar el plugin Envira Gallery Lite a la versión 1.12.5 o superior. Si la actualización no es inmediatamente posible, se recomienda implementar medidas de mitigación temporales. Estas pueden incluir la implementación de reglas en un Web Application Firewall (WAF) para bloquear solicitudes maliciosas a la API REST, específicamente aquellas que contengan caracteres sospechosos en el parámetro 'arrows'. También se puede considerar la deshabilitación temporal de la API REST para la galería, aunque esto podría afectar la funcionalidad del plugin. Después de la actualización, verifique que la vulnerabilidad haya sido corregida revisando el código fuente o realizando pruebas de penetración.
Cómo corregirlo
Actualizar a la versión 1.12.5, o una versión parcheada más reciente
Preguntas frecuentes
What is CVE-2026-5361 — XSS en Envira Gallery – Image Photo Gallery?
CVE-2026-5361 es una vulnerabilidad de Cross-Site Scripting (XSS) de almacenamiento en el plugin Envira Gallery Lite para WordPress, que permite la inyección de código malicioso a través de la API REST en versiones hasta 1.12.4.
Am I affected by CVE-2026-5361 en Envira Gallery – Image Photo Gallery?
Si está utilizando Envira Gallery Lite en versiones anteriores a 1.12.5, es probable que esté afectado por esta vulnerabilidad. Verifique la versión del plugin en su panel de administración de WordPress.
How do I fix CVE-2026-5361 en Envira Gallery – Image Photo Gallery?
La solución recomendada es actualizar el plugin Envira Gallery Lite a la versión 1.12.5 o superior. Si no puede actualizar inmediatamente, aplique mitigaciones temporales como reglas WAF.
Is CVE-2026-5361 being actively exploited?
Aunque no se han reportado explotaciones activas a gran escala, la vulnerabilidad es un objetivo potencial debido a la facilidad de inyección de XSS y la disponibilidad de la API REST.
Where can I find the official Envira Gallery advisory for CVE-2026-5361?
Consulte el sitio web oficial de Envira Gallery o el repositorio de WordPress para obtener la información más reciente sobre esta vulnerabilidad y las actualizaciones disponibles.
¿Tu proyecto está afectado?
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Detecta esta CVE en tu proyecto
Sube tu archivo de dependencias y detecta esta y otras CVEs al instante.
Escanea tu proyecto WordPress ahora — sin cuenta
Sube cualquier manifiesto (composer.lock, package-lock.json, lista de plugins WordPress…) o pega tu lista de componentes. Recibís un reporte de vulnerabilidades al instante. Subir un archivo es solo el primer paso: con una cuenta tenés monitoreo continuo, alertas en tu canal, multi-proyecto y reportes white-label.
Arrastra y suelta tu archivo de dependencias
composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...