CVE-2026-16561
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Wtyczka Sunshine Photo Cart dla WordPressa przed wersją 3.6.12 nie przeprowadza kontroli dostępu w jednej z akcji AJAX, co pozwala nieuwierzytelnionym użytkownikom na pobieranie komentarzy do obrazów należących do prywatnych, chronionych hasłem lub w inny sposób ograniczonych galerii.
Ocena ryzyka
Ryzyko polega na ujawnieniu prywatnych komentarzy z ograniczonych galerii, co może naruszyć prywatność użytkowników i poufność danych.
Rekomendacja
Zaleca się aktualizację wtyczki Sunshine Photo Cart do wersji 3.6.12 lub nowszej, aby zapewnić odpowiednią kontrolę dostępu.
Inne podatności w Sunshine Photo Cart WordPress plugin
Zobacz wszystkie- CVE-2026-108069Nieznane
Wtyczka Sunshine Photo Cart dla WordPressa przed wersją 3.7.4 nie sprawdza, czy odwiedzający ma uprawnienia dostępu do ograniczonej galerii przed przyjęciem komentarzy do jej zdjęć, podczas gdy wykonuje to sprawdzenie przy wyświetlaniu komentarzy, co pozwala nieuwierzytelnionym atakującym na wstrzykiwanie treści wybranej przez atakującego z wybraną nazwą autora i adresem e-mail do galerii, które właściciel ograniczył (chronionych hasłem, dostępnych po e-mailu, prywatnych, tylko dla kont lub wygasłych).
- CVE-2026-85037Średnie
Wtyczka Sunshine Photo Cart dla WordPressa przed wersją 3.7 nie weryfikuje, czy identyfikator ceny dostarczony przez klienta należy do kupowanego przedmiotu podczas dodawania go do koszyka, co pozwala nieuwierzytelnionym użytkownikom na zakup przedmiotów po niższej cenie zdefiniowanej gdzie indziej na stronie i sfinalizowanie zamówienia po tej cenie, co skutkuje stratami finansowymi dla właściciela strony.
Oryginalny opis (angielski, źródło NVD)
The Sunshine Photo Cart WordPress plugin before 3.6.12 does not perform access control checks in one of its AJAX actions, allowing unauthenticated users to retrieve the comments of images belonging to private, password-protected or otherwise access-restricted galleries.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS