CVE-2026-111971

ŚrednieCVSS 6.8

Opublikowano: 22/10/2026(UTC)Zaktualizowano: 22/10/2026(UTC)Przetłumaczono: 22/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.24%

Percentyl 14 - wyżej niż 14% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Photo Engine (Media Organizer & Lightroom) w wersjach przed 6.5.8 nie sanityzuje ani nie escapuje nazw kolekcji i galerii przed ich zapisaniem i wyświetleniem w panelu administracyjnym. Pozwala to uwierzytelnionym użytkownikom z rolą autora i wyższą przeprowadzać ataki Stored Cross-Site Scripting.

Ocena ryzyka

Użytkownik z rolą autora może zapisać złośliwy skrypt, który wykona się w przeglądarce administratora, co może prowadzić do przejęcia sesji lub wykonania działań w imieniu administratora.

Rekomendacja

Zaktualizuj wtyczkę Photo Engine do wersji 6.5.8 lub nowszej. Ogranicz role autorów do zaufanych osób i rozważ wdrożenie polityki CSP.

Inne podatności w Photo Engine (Media Organizer & Lightroom)

CVE-2026-111972Średnie
Wtyczka WordPress Photo Engine (Media Organizer & Lightroom) przed wersją 6.5.8 nie weryfikuje, czy użytkownik jest uprawniony do działania na docelowym załączniku multimedialnym. Uwierzytelnieni użytkownicy z rolą autora i wyższą mogą usuwać dowolne załączniki, w tym przesłane przez innych użytkowników i administratorów.

Oryginalny opis (angielski, źródło NVD)

The Photo Engine (Media Organizer & Lightroom) WordPress plugin before 6.5.8 does not sanitise and escape collection and gallery names before storing them and outputting them in an administrative dashboard, allowing authenticated users with the author role and above to perform Stored Cross-Site Scripting attacks.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS