Scanner gratuitement

Cette page n'a pas encore été traduite dans votre langue. Affichage du contenu en anglais pendant que nous y travaillons.

💡 Keep dependencies up to date — most exploits target known, patchable vulnerabilities.

MEDIUMCVE-2026-5361CVSS 6.4

CVE-2026-5361: XSS in Envira Gallery Lite WordPress Plugin

Plateforme

wordpress

Composant

envira-gallery-lite

Corrigé dans

1.12.5

Voir sur NVD
Sauvegarder
Traduction vers votre langue…

CVE-2026-5361 describes a Stored Cross-Site Scripting (XSS) vulnerability affecting the Envira Gallery Lite plugin for WordPress. This vulnerability allows attackers to inject malicious scripts into the gallery, potentially leading to unauthorized code execution within a user's browser. The vulnerability impacts versions 1.0.0 through 1.12.4 and is resolved in version 1.12.5.

WordPress

Détecte cette CVE dans ton projet

Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.

Scanner gratuitement

Impact et Scénarios d'Attaquetraduction en cours…

An attacker exploiting this XSS vulnerability could inject arbitrary JavaScript code into the Envira Gallery Lite plugin. This code could then be executed in the browsers of users viewing the affected gallery. The impact ranges from simple defacement and redirection to more severe consequences like stealing session cookies, phishing attacks, or even gaining control of the user's WordPress account. The REST API endpoint is a common target for such attacks, and successful exploitation could impact a significant number of WordPress sites using the Envira Gallery Lite plugin. The lack of proper sanitization of the 'arrows' parameter is the root cause, allowing attackers to bypass security measures.

Contexte d'Exploitationtraduction en cours…

CVE-2026-5361 was published on 2026-05-14. Severity is rated as Medium (CVSS 6.4). No public exploits or active campaigns have been reported as of this writing. The vulnerability is not currently listed on KEV or EPSS, indicating a low to medium probability of exploitation. Refer to the official Envira Gallery Lite advisory for further details.

Renseignement sur les Menaces

Statut de l'Exploit

Preuve de ConceptInconnu
CISA KEVNO
Exposition InternetÉlevée

CISA SSVC

Exploitationnone
Automatisableno
Impact Techniquepartial

Vecteur CVSS

RENSEIGNEMENT SUR LES MENACES· CVSS 3.1CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N6.4MEDIUMAttack VectorNetworkComment l'attaquant atteint la cibleAttack ComplexityLowConditions requises pour exploiterPrivileges RequiredLowNiveau d'authentification requisUser InteractionNoneSi une action de la victime est requiseScopeChangedImpact au-delà du composant affectéConfidentialityLowRisque d'exposition de données sensiblesIntegrityLowRisque de modification non autorisée de donnéesAvailabilityNoneRisque d'interruption de servicenextguardhq.com · Score de base CVSS v3.1
Que signifient ces métriques?
Attack Vector
Réseau — exploitable à distance via internet. Aucun accès physique ou local requis.
Attack Complexity
Faible — aucune condition spéciale requise. Exploitable de manière fiable.
Privileges Required
Faible — tout compte utilisateur valide est suffisant.
User Interaction
Aucune — attaque automatique et silencieuse. La victime ne fait rien.
Scope
Modifié — l'attaque peut pivoter au-delà du composant vulnérable.
Confidentiality
Faible — accès partiel ou indirect à certaines données.
Integrity
Faible — l'attaquant peut modifier certaines données avec un impact limité.
Availability
Aucun — aucun impact sur la disponibilité.

Logiciel Affecté

Composantenvira-gallery-lite
Fournisseurwordfence
Version maximale1.12.4
Corrigé dans1.12.5

Classification de Faiblesse (CWE)

CWE-79

Chronologie

  1. Réservé
  2. Publiée
  3. Modifiée

Mitigation et Contournementstraduction en cours…

The primary mitigation for CVE-2026-5361 is to upgrade the Envira Gallery Lite plugin to version 1.12.5 or later. If immediate upgrading is not possible due to compatibility issues or testing requirements, consider implementing a Web Application Firewall (WAF) rule to block requests to the vulnerable REST API endpoint with suspicious parameters. Carefully review any custom code interacting with the gallery data to ensure proper input sanitization and output escaping. Monitor WordPress logs for unusual activity or attempts to access the REST API with potentially malicious payloads.

Comment corriger

Mettre à jour vers la version 1.12.5, ou une version corrigée plus récente

Questions fréquentestraduction en cours…

What is CVE-2026-5361 — XSS in Envira Gallery Lite?

CVE-2026-5361 is a Stored Cross-Site Scripting (XSS) vulnerability in the Envira Gallery Lite WordPress plugin, allowing attackers to inject malicious scripts via the REST API.

Am I affected by CVE-2026-5361 in Envira Gallery Lite?

You are affected if you are using Envira Gallery Lite versions 1.0.0 through 1.12.4. Check your plugin version and update if necessary.

How do I fix CVE-2026-5361 in Envira Gallery Lite?

Upgrade the Envira Gallery Lite plugin to version 1.12.5 or later. Consider WAF rules as a temporary mitigation if upgrading is not immediately possible.

Is CVE-2026-5361 being actively exploited?

As of now, there are no reports of active exploitation or public exploits for CVE-2026-5361, but vigilance is still advised.

Where can I find the official Envira Gallery Lite advisory for CVE-2026-5361?

Refer to the official Envira Gallery Lite website and WordPress plugin repository for the latest advisory and update information.

Ton projet est-il affecté ?

Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.

Scanner gratuitementRechercher des CVE
WordPress

Détecte cette CVE dans ton projet

Téléverse ton fichier de dépendances et découvre instantanément si cette CVE et d'autres te touchent.

Scanner gratuitement
en directfree scan

Scannez votre projet WordPress maintenant — sans compte

scanZone.subtitle

Scan manuelSlack/email alertsContinuous monitoringWhite-label reports

Glissez-déposez votre fichier de dépendances

composer.lock, package-lock.json, requirements.txt, Gemfile.lock, pubspec.lock, Dockerfile...