CVE-2025-12494

ŚrednieCVSS 4.3

Opublikowano: 15/11/2025(UTC)Zaktualizowano: 07/10/2026(UTC)Przetłumaczono: 08/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Image Gallery – Photo Grid & Video Gallery jest podatna na dowolne usuwanie plików z powodu niewystarczającej walidacji ścieżek w funkcji ajax_import_file we wszystkich wersjach do 2.12.28 włącznie. Uwierzytelnieni atakujący z uprawnieniami autora lub wyższymi mogą przenosić dowolne pliki obrazów na serwerze.

Ocena ryzyka

Atakujący z uprawnieniami autora może przenosić lub usuwać pliki na serwerze, co może prowadzić do utraty danych lub zakłócenia działania witryny. Ryzyko dotyczy witryn z podatną wersją wtyczki i kontami o podwyższonych uprawnieniach.

Rekomendacja

Zaktualizuj wtyczkę Image Gallery – Photo Grid & Video Gallery do wersji nowszej niż 2.12.28. Do czasu aktualizacji ogranicz liczbę kont z uprawnieniami autora i wyżej oraz rozważ wyłączenie funkcji importu plików.

Inne podatności w Image Gallery – Photo Grid & Video Gallery

CVE-2025-13891Średnie
Wtyczka Image Gallery – Photo Grid & Video Gallery dla WordPressa jest podatna na Path Traversal we wszystkich wersjach do 2.13.3 włącznie. Wynika to z endpointu AJAX modula_list_folders, który nie posiada odpowiedniej walidacji ścieżek i ograniczeń katalogu bazowego. Mimo weryfikacji uprawnień użytkownika (Author+ z uprawnieniami upload_files i edit_posts), nie sprawdza się, czy podane ścieżki katalogów znajdują się w bezpiecznych lokalizacjach, co umożliwia uwierzytelnionym atakującym enumerację dowolnych katalogów na serwerze.

Oryginalny opis (angielski, źródło NVD)

The Image Gallery – Photo Grid & Video Gallery plugin for WordPress is vulnerable to arbitrary file deletion due to insufficient file path validation in the ajax_import_file function in all versions up to, and including, 2.12.28. This makes it possible for authenticated attackers, with author-level access and above, to move arbitrary image files on the server.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS