CVE-2026-1291

ŚrednieCVSS 4.3

Opublikowano: 13/06/2026(UTC)Zaktualizowano: 23/07/2026(UTC)Przetłumaczono: 25/07/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.21%

Percentyl 12 - wyżej niż 12% wszystkich znanych CVE

Streszczenie

Wtyczka Meow Gallery dla WordPress do wersji 5.4.4 włącznie jest podatna na nieautoryzowaną modyfikację danych przez REST API /wp-json/meow-gallery/v1/save_shortcode z powodu braku sprawdzenia uprawnień. Uwierzytelnieni atakujący z dostępem na poziomie Autora mogą tworzyć lub nadpisywać rekordy galerii, podając kontrolowaną wartość id.

Ocena ryzyka

Atakujący może nadpisać istniejące galerie lub utworzyć nowe, co może prowadzić do defacementu strony lub wstrzyknięcia złośliwych treści.

Rekomendacja

Należy zaktualizować wtyczkę Meow Gallery do najnowszej wersji zawierającej poprawkę.

Inne podatności w Meow Gallery

CVE-2026-15386Średnie
Wtyczka Meow Gallery dla WordPressa przed wersją 5.5.2 nie escapuje tekstu alternatywnego załącznika przed wypisaniem go do atrybutu linku budowanego dla galerii z linkami. Umożliwia to użytkownikom z rolą Autora lub wyższą przechowywanie ładunku JavaScript, który wykonuje się w przeglądarce każdego odwiedzającego (w tym administratorów), który przegląda post zawierający taką galerię.

Oryginalny opis (angielski, źródło NVD)

The Meow Gallery plugin for WordPress is vulnerable to unauthorized modification of data due to a missing capability check on the REST API endpoint /wp-json/meow-gallery/v1/save_shortcode in all versions up to, and including, 5.4.4 This makes it possible for authenticated attackers, with Author-level access and above, to arbitrarily create or overwrite existing gallery shortcode records by supplying a user-controlled id value. The endpoint performs database update operations without verifying that the requesting user is authorized to modify the referenced gallery record or create their own.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS