CVE-2026-4300

WordPress üçün Robo Gallery plagini, 5.1.3 daxil olmaqla bütün versiyalarda 'Loading Label' tənzimləməsi vasitəsilə Saxlanılan Saytlararası Skriptinq (Stored XSS) boşluğuna malikdir. Plagin, JSON formatlı konfiqurasiya obyektləri daxilində xammal JavaScript funksiya istinadlarını yerləşdirmək üçün özünün `fixJsFunction()` metodunda xüsusi `|***...***|` marker modelindən istifadə edir. Qalereyanın seçimləri ön tərəfdə render edilərkən, `json_encode()` bütün sətir dəyərlərini cüt dırnaqlara alır. Daha sonra `fixJsFunction()` metodu `"|***` və `***|"` ardıcıllıqlarını silərək, JSON sətir dəyərini effektiv şəkildə xammal JavaScript koduna çevirir. Yükləmə etiketi sahəsi (`rbs_gallery_LoadingWord` post_meta kimi saxlanılır), yaddaşa yazılarkən `sanitize_text_field()` ilə təmizlənən `rbstext` tipli sahədir. Bu proses HTML teqlərini silsə də, HTML elementləri ehtiva etmədiklərinə görə `|***...***|` markerlərini silmir. İstifadəçi `|***alert(document.domain)***|` daxil etdikdə, bu dəyər təmizləmə prosesindən olduğu kimi keçir, post_meta-da saxlanılır və daha sonra `renderMainBlock()` vasitəsilə dırnaq markerləri silinmiş halda inline `<script>` teqi daxilində çıxarılır ki, bu da ixtiyari JavaScript kodunun icrasına səbəb olur. Qalereya post tipi `capability_type => 'post'` istifadə etdiyindən, Müəllif (Author) səviyyəli istifadəçilərə qalereyalar yaratmağa icazə verir. Bu, Müəllif və daha yüksək səviyyəli girişə malik autentifikasiya olunmuş hücumçulara, qalereya shortcode-u olan səhifələrə hər hansı bir istifadəçi daxil olduqda icra olunacaq ixtiyari veb skriptlərini yerləşdirməyə imkan verir.