CVE-2026-104645
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka Image Photo Gallery Final Tiles Grid dla WordPressa przed wersją 3.6.14 nie weryfikuje poprawnie autoryzacji w kilku akcjach zarządzania galerią i obrazami. Sprawdza własność względem innego obiektu niż ten, na którym działa, lub całkowicie pomija sprawdzenie. Pozwala to każdemu uwierzytelnionemu użytkownikowi z dostępem na poziomie współautora lub wyższym na klonowanie, modyfikowanie i zmienianie kolejności galerii i obrazów należących do innych użytkowników oraz zapisywanie metadanych wtyczki na dowolnych postach, których nie posiadają.
Ocena ryzyka
Nieautoryzowane modyfikacje galerii i obrazów mogą prowadzić do naruszenia integralności treści, uszkodzenia danych i eskalacji uprawnień. Ryzyko dotyczy instalacji z wtyczką Image Photo Gallery Final Tiles Grid.
Rekomendacja
Zaktualizuj wtyczkę Image Photo Gallery Final Tiles Grid do wersji 3.6.14 lub nowszej, która zawiera poprawkę autoryzacji.
Inne podatności w Image Photo Gallery Final Tiles Grid
Zobacz wszystkie- CVE-2026-104646Średnie
Wtyczka WordPress Image Photo Gallery Final Tiles Grid przed wersją 3.6.14 nie sanityzuje kilku wartości konfiguracyjnych galerii, które mogą być nadpisane przez shortcode galerii, przed wypisaniem ich w bloku skryptu inline. Użytkownicy z poziomem współpracownika i wyższym mogą wstrzyknąć dowolny JavaScript, który wykonuje się w sesji każdego, kto przegląda post, w tym administratora podglądającego oczekujące zgłoszenie. Nie jest wymagana własność galerii: można odwołać się do dowolnej istniejącej galerii.
- CVE-2026-104409Średnie
Podatność typu Stored XSS w wtyczce Image Photo Gallery Final Tiles Grid do wersji 3.6.13. Umożliwia wstrzyknięcie trwałego skryptu, który może być wykonany w przeglądarce użytkownika.
- CVE-2026-4559Średnie
Wtyczka Image Photo Gallery Final Tiles Grid dla WordPressa do wersji 3.6.12 włącznie jest podatna na Stored Cross-Site Scripting przez atrybut 'delay' w shortcode z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyżej wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-27424Średnie
Wtyczka Image Photo Gallery Final Tiles Grid dla WordPressa do wersji 3.6.11 włącznie ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu.
- CVE-2026-39510Niskie
Wtyczka WordPress Image Photo Gallery Final Tiles Grid (wersje do 3.6.11) zawiera podatność na obejście autoryzacji poprzez kontrolowany przez użytkownika klucz, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
The Image Photo Gallery Final Tiles Grid WordPress plugin before 3.6.14 does not properly verify authorization on several of its gallery and image management actions, checking ownership against a different object than the one being acted on, or omitting the check entirely, allowing any authenticated user with contributor-level access or above to clone, modify and reorder galleries and images belonging to other users and to write Image Photo Gallery Final Tiles Grid WordPress plugin before 3.6.14 metadata onto arbitrary posts they do not own.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS