CVE-2025-11448
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka Envira Photo Gallery dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w punkcie końcowym REST API '/envira-convert/v1/bulk-convert' we wszystkich wersjach do 1.11.0 włącznie. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu współautora i wyższym konwertowanie galerii na galerie Envira.
Ocena ryzyka
Atakujący z kontem współautora może modyfikować zawartość galerii, co może prowadzić do nieautoryzowanych zmian w witrynie i potencjalnego naruszenia integralności danych. Może to wpłynąć na zaufanie użytkowników i wizerunek organizacji.
Rekomendacja
Zaktualizuj wtyczkę Envira Photo Gallery do wersji nowszej niż 1.11.0, gdy tylko będzie dostępna. Do tego czasu rozważ ograniczenie uprawnień kont współautorów lub wyłączenie wtyczki.
Inne podatności w Envira Photo Gallery
Zobacz wszystkie- CVE-2026-54190Średnie
W wersjach Envira Photo Gallery do 1.12.5 występuje nieautoryzowany błąd kontroli dostępu, który może umożliwić atakującym dostęp do zasobów, do których nie powinni mieć dostępu.
- CVE-2025-12377Średnie
Wtyczka Envira Photo Gallery dla WordPressa do wersji 1.12.0 włącznie jest podatna na nieautoryzowaną modyfikację danych z powodu braku kontroli uprawnień w kilku funkcjach. Uwierzytelnieni atakujący z dostępem na poziomie autora lub wyższym mogą wykonywać wiele akcji, takich jak usuwanie obrazów z dowolnych galerii. Luka została częściowo załatana w wersji 1.12.0.
Oryginalny opis (angielski, źródło NVD)
The Gallery Plugin for WordPress – Envira Photo Gallery plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the '/envira-convert/v1/bulk-convert' REST API endpoint in all versions up to, and including, 1.11.0. This makes it possible for authenticated attackers, with contributor-level access and above, to convert galleries to Envira galleries.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS