CVE-2026-17014
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka WP Photo Album Plus WordPress przed wersją 9.2.07.002 nie przeprowadza żadnej kontroli uprawnień ani nonce w jednej z publicznych akcji punktu końcowego REST, co pozwala nieuwierzytelnionym użytkownikom na usuwanie wygenerowanych archiwów ZIP eksportu albumów, które przechowuje.
Ocena ryzyka
Ryzyko obejmuje możliwość usunięcia ważnych danych (archiwów eksportu) przez nieuwierzytelnionych atakujących, co może prowadzić do utraty danych i zakłócenia działania.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki WP Photo Album Plus do wersji 9.2.07.002 lub nowszej, która zawiera poprawkę zabezpieczającą.
Inne podatności w WP Photo Album Plus WordPress plugin
Zobacz wszystkie- CVE-2026-6379Wysokie
Wtyczka WP Photo Album Plus dla WordPressa przed wersją 9.1.11.001 nieprawidłowo sanitizuje i ucieka parametr przed użyciem go w zapytaniu SQL, co pozwala nieautoryzowanym użytkownikom na przeprowadzenie ataków SQL injection.
- CVE-2026-14922Średnie
Wtyczka WP Photo Album Plus do wersji 9.2.03.001 jest podatna na trwałe Cross-Site Scripting (XSS) przez błąd podwójnego kodowania w mechanizmie komentarzy do zdjęć. Atakujący może przesłać podwójnie zakodowany HTML (np. <img src=... onload=...>), który przechodzi przez filtry i jest przechowywany jako encje, a następnie wykonuje się w przeglądarce ofiary.
Oryginalny opis (angielski, źródło NVD)
The WP Photo Album Plus WordPress plugin before 9.2.07.002 does not perform any capability or nonce check on one of its public REST endpoint actions, allowing unauthenticated users to delete the generated album export ZIP archives it stores.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS