CVE-2025-12377
ŚrednieCVSS 4.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 23 - wyżej niż 23% wszystkich znanych CVE
Streszczenie
Wtyczka Envira Photo Gallery dla WordPressa do wersji 1.12.0 włącznie jest podatna na nieautoryzowaną modyfikację danych z powodu braku kontroli uprawnień w kilku funkcjach. Uwierzytelnieni atakujący z dostępem na poziomie autora lub wyższym mogą wykonywać wiele akcji, takich jak usuwanie obrazów z dowolnych galerii. Luka została częściowo załatana w wersji 1.12.0.
Ocena ryzyka
Ryzyko polega na możliwości nieautoryzowanej modyfikacji treści galerii przez użytkowników o podwyższonych uprawnieniach, co może prowadzić do uszkodzenia danych lub utraty integralności strony.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki do najnowszej wersji, która w pełni naprawia lukę, oraz ograniczenie uprawnień użytkowników do niezbędnego minimum.
Inne podatności w Envira Photo Gallery
Zobacz wszystkie- CVE-2026-54190Średnie
W wersjach Envira Photo Gallery do 1.12.5 występuje nieautoryzowany błąd kontroli dostępu, który może umożliwić atakującym dostęp do zasobów, do których nie powinni mieć dostępu.
- CVE-2025-11448Średnie
Wtyczka Envira Photo Gallery dla WordPressa jest podatna na nieautoryzowaną modyfikację danych z powodu braku sprawdzenia uprawnień w punkcie końcowym REST API '/envira-convert/v1/bulk-convert' we wszystkich wersjach do 1.11.0 włącznie. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu współautora i wyższym konwertowanie galerii na galerie Envira.
Oryginalny opis (angielski, źródło NVD)
The Gallery Plugin for WordPress – Envira Photo Gallery plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on several functions in all versions up to, and including, 1.12.0. This makes it possible for authenticated attackers, with Author-level access and above, to perform multiple actions, such as removing images from arbitrary galleries. The vulnerability was partially patched in version 1.12.0.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS