Vulnerabilidad en plugin Robo Gallery para WordPress (CVE-2026-4300)

El plugin Robo Gallery para WordPress es vulnerable a cross-site scripting almacenado a través de la configuración Loading Label en todas las versiones hasta, e incluyendo, la 5.1.3. El plugin utiliza un patrón de marcador personalizado '| ... |' en su método 'fixJsFunction()' para incrustar referencias de funciones JavaScript en bruto dentro de objetos de configuración codificados en JSON. Cuando las opciones de una galería se renderizan en el frontend, 'json_encode()' envuelve todos los valores de cadena entre comillas dobles. El método 'fixJsFunction()' luego elimina las secuencias "| y |" , convirtiendo efectivamente un valor de cadena JSON en código JavaScript en bruto. El campo Loading Label (almacenado como 'rbs_gallery_LoadingWord' post_meta) es un campo de tipo 'rbstext' que se sanitiza con 'sanitize_text_field()' al guardar. Si bien esto elimina las etiquetas HTML, no elimina los marcadores '| ... |' ya que no contienen HTML. Cuando un usuario introduce '| alert(document.domain) |', el valor pasa por la sanitización intacto, se almacena en post_meta, y luego se recupera y se muestra dentro de una etiqueta ' script ' en línea a través de 'renderMainBlock()' con los marcadores de comillas eliminados - lo que resulta en la ejecución arbitraria de JavaScript. El tipo de publicación de galería utiliza 'capability_type = post ', permitiendo a los usuarios con nivel de Autor crear galerías. Esto hace posible que atacantes autenticados, con acceso de nivel de Autor y superior, inyecten scripts web arbitrarios en páginas que se ejecutarán cada vez que un usuario acceda a una página que contenga el shortcode de la galería.