CVE-2026-18557
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 10 - wyżej niż 10% wszystkich znanych CVE
Streszczenie
Wtyczka Photo Gallery by 10Web – Mobile-Friendly Image Gallery dla WordPressa jest podatna na odbite skrypty krzyżowe (Reflected XSS) poprzez parametr 'title' we wszystkich wersjach do 1.8.42 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się, jeśli uda mu się nakłonić użytkownika do kliknięcia linku.
Ocena ryzyka
Nieuwierzytelniony atakujący może wykorzystać wtyczkę do przeprowadzenia ataku phishingowego lub kradzieży danych sesyjnych użytkowników, którzy klikną spreparowany link.
Rekomendacja
Zaktualizuj wtyczkę do wersji nowszej niż 1.8.42, gdy tylko będzie dostępna, i ostrzeż użytkowników przed klikaniem podejrzanych linków.
Inne podatności w Photo Gallery by 10Web
Zobacz wszystkie- CVE-2026-86311Średnie
Wtyczka Photo Gallery by 10Web – Mobile-Friendly Image Gallery dla WordPressa jest podatna na trwały Cross-Site Scripting poprzez atrybuty shortcode we wszystkich wersjach do 1.8.44 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami Author lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-42715Wysokie
Nieuwierzytelnione podatności na ataki XSS w wtyczce Photo Gallery by 10Web w wersjach do 1.8.47.
- CVE-2026-92974Średnie
Wtyczka Photo Gallery by 10Web dla WordPressa w wersjach do 1.8.46 włącznie jest podatna na odbite XSS przez parametr 'thumb_url' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Akcja AJAX editimage_bwg sprawdza uprawnienia, ale nie weryfikuje nonce, więc ładunek można dostarczyć spreparowanym żądaniem GET bez tokena CSRF.
- CVE-2026-102377Wysokie
Podatność PHP Object Injection w wtyczce Photo Gallery by 10Web w wersjach do 1.8.46. Wymaga uprawnień kontrybutora.
- CVE-2026-85652Średnie
Wtyczka Photo Gallery by 10Web – Mobile-Friendly Image Gallery dla WordPress jest podatna na czasową SQL Injection poprzez atrybut shortcode 'album_id' we wszystkich wersjach do 1.8.44 włącznie, z powodu niewystarczającego escapowania i braku przygotowania zapytania SQL. Uwierzytelnieni atakujący z uprawnieniami autora mogą dołączać dodatkowe zapytania SQL w celu wyodrębnienia danych.
- CVE-2026-12865Wysokie
Wtyczka Photo Gallery by 10Web dla WordPressa przed wersją 1.8.44 nie escapuje dwóch parametrów żądania przed odzwierciedleniem ich w wartościach atrybutów wejściowych na stronach administracyjnych (jeden na stronie Shortcode, drugi na liście Galerie/Albumy). Niezalogowany atakujący może stworzyć link, który po otwarciu przez zalogowanego administratora (lub dla pierwszego sinka – współautora) wykonuje dowolny JavaScript w sesji ofiary za pomocą automatycznie wyzwalanego handlera onfocus. Sink Galerie/Albumy renderuje się tylko, gdy witryna ma więcej niż 20 galerii/albumów.
- CVE-2026-9829Średnie
Wtyczka Photo Gallery by 10Web dla WordPress do wersji 1.8.41 jest podatna na czasowe SQL Injection przez parametr shortcode 'compact_album_order_by'. Uwierzytelnieni atakujący z dostępem na poziomie contributor mogą wstrzykiwać dodatkowe zapytania SQL, a następnie wywołać je bez uwierzytelnienia przez inny handler AJAX.
- CVE-2026-49771Wysokie
Wtyczka Photo Gallery by 10Web do WordPressa w wersjach do 1.8.41 zawiera podatność na ślepą iniekcję SQL. Atakujący może wstrzykiwać zapytania SQL poprzez niesprawdzane dane wejściowe.
Oryginalny opis (angielski, źródło NVD)
The Photo Gallery by 10Web – Mobile-Friendly Image Gallery plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via the 'title' parameter in all versions up to, and including, 1.8.42 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS