PT-2026-36965 · WordPress · Wp Carousel Free

Craig Smith · Publicado 2026-05-05 · Atualizado 2026-05-05 · CVE-2026-4665

Positive Technologies (AI Summary) · Pt

CVSS v3.1

6.4

Média

Vetor base

AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:N

Nome do Software Vulnerável e Versões Afetadas WP Carousel Free versões anteriores a 2.7.11

Descrição Ocorre Cross-Site Scripting Armazenado quando o script fancybox-config.js lê o atributo id do contêiner do carrossel diretamente do DOM para construir um seletor jQuery sem sanitização. Se um usuário com nível de acesso de Colaborador ou superior criar um bloco HTML com um ID de contêiner de carrossel malformado, a configuração personalizada falha, fazendo com que a biblioteca fancybox integrada (v3.5.7) renderize o atributo data-caption como HTML bruto. Isso permite que atacantes autenticados injetem scripts web arbitrários que são executados quando um usuário clica em uma imagem no lightbox do carrossel manipulado.

Recomendações Atualize para uma versão posterior a 2.7.10.

Correção

XSS

Enumeração de Fraquezas

CWE-79

Identificadores relacionados

CVE-2026-4665

Produtos afetados

Wp Carousel Free

Referências · 9

• https://t.me/CVEtracker/52707 · Publicação no Telegram
• https://plugins.trac.wordpress.org/browser/wp-carousel-free/trunk/public/js/fancybox-config.js#L3 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2026-4665 · Nota de Segurança
• https://twitter.com/VulmonFeeds/status/2051585403275165830 · Publicação no Twitter
• https://plugins.trac.wordpress.org/changeset/3506878/wp-carousel-free/trunk/public/js/fancybox.js · Nota
• https://twitter.com/CVEarity/status/2051614988557750687 · Publicação no Twitter
• https://plugins.trac.wordpress.org/browser/wp-carousel-free/tags/2.7.10/public/js/fancybox-config.js#L3 · Nota
• https://t.me/cveNotify/162132 · Publicação no Telegram
• https://wordfence.com/threat-intel/vulnerabilities/id/e75815a3-2414-47f3-b0c4-e5d3e2cb369d?source=cve · Nota