CVE-2026-17014
ŚrednieCVSS 5.3Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka WP Photo Album Plus WordPress przed wersją 9.2.07.002 nie przeprowadza żadnej kontroli uprawnień ani nonce w jednej z publicznych akcji punktu końcowego REST, co pozwala nieuwierzytelnionym użytkownikom na usuwanie wygenerowanych archiwów ZIP eksportu albumów, które przechowuje.
Ocena ryzyka
Ryzyko obejmuje możliwość usunięcia ważnych danych (archiwów eksportu) przez nieuwierzytelnionych atakujących, co może prowadzić do utraty danych i zakłócenia działania.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki WP Photo Album Plus do wersji 9.2.07.002 lub nowszej, która zawiera poprawkę zabezpieczającą.
Oryginalny opis (angielski, źródło NVD)
The WP Photo Album Plus WordPress plugin before 9.2.07.002 does not perform any capability or nonce check on one of its public REST endpoint actions, allowing unauthenticated users to delete the generated album export ZIP archives it stores.