CVE-2025-57947
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 20 - wyżej niż 20% wszystkich znanych CVE
Streszczenie
Wtyczka Photo Gallery by Ays (wersje do 6.3.8) zawiera podatność Cross-Site Scripting (XSS) typu DOM-Based. Wynika ona z nieprawidłowej neutralizacji danych wejściowych podczas generowania strony.
Ocena ryzyka
Może dojść do wykonania złośliwego kodu w przeglądarce użytkownika, kradzieży sesji lub przejęcia konta. Wymaga interakcji użytkownika.
Rekomendacja
Zaktualizuj wtyczkę do wersji nowszej niż 6.3.8. Zastosuj walidację i sanityzację danych wejściowych.
Inne podatności w Photo Gallery by Ays
Zobacz wszystkie- CVE-2026-76006Średnie
Wtyczka Photo Gallery by Ays – Responsive Image Gallery dla WordPressa jest podatna na ogólne SQL Injection przez parametr 's' we wszystkich wersjach do 6.8.2 włącznie, z powodu niedostatecznego escapowania parametru i braku odpowiedniego przygotowania zapytania SQL. Umożliwia to uwierzytelnionym atakującym z dostępem administratora i wyższym dołączanie dodatkowych zapytań SQL do istniejących, co może służyć do wyodrębnienia wrażliwych informacji z bazy danych. Podatność istnieje w dwóch ścieżkach wykonania — $wpdb->get_var() w record_count() i $wpdb->get_results() w prepare_items()/get_image_categories() — umożliwiając techniki eksfiltracji typu blind i UNION.
- CVE-2025-13685Średnie
Wtyczka Photo Gallery by Ays dla WordPressa jest podatna na Cross-Site Request Forgery we wszystkich wersjach do 6.4.8 włącznie. Brak weryfikacji nonce w funkcji process_bulk_action() umożliwia nieuwierzytelnionym atakującym wykonywanie operacji masowych (usuwanie, publikowanie, cofanie publikacji galerii) poprzez sfałszowane żądanie, jeśli uda im się nakłonić administratora do kliknięcia linku.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Input During Web Page Generation ('Cross-site Scripting') vulnerability in Ays Pro Photo Gallery by Ays gallery-photo-gallery allows DOM-Based XSS.This issue affects Photo Gallery by Ays: from n/a through <= 6.3.8.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS