CVE-2026-39510

Wtyczka WordPress Image Photo Gallery Final Tiles Grid przed wersją 3.6.14 nie sanityzuje kilku wartości konfiguracyjnych galerii, które mogą być nadpisane przez shortcode galerii, przed wypisaniem ich w bloku skryptu inline. Użytkownicy z poziomem współpracownika i wyższym mogą wstrzyknąć dowolny JavaScript, który wykonuje się w sesji każdego, kto przegląda post, w tym administratora podglądającego oczekujące zgłoszenie. Nie jest wymagana własność galerii: można odwołać się do dowolnej istniejącej galerii.

Wtyczka Image Photo Gallery Final Tiles Grid dla WordPressa przed wersją 3.6.14 nie weryfikuje poprawnie autoryzacji w kilku akcjach zarządzania galerią i obrazami. Sprawdza własność względem innego obiektu niż ten, na którym działa, lub całkowicie pomija sprawdzenie. Pozwala to każdemu uwierzytelnionemu użytkownikowi z dostępem na poziomie współautora lub wyższym na klonowanie, modyfikowanie i zmienianie kolejności galerii i obrazów należących do innych użytkowników oraz zapisywanie metadanych wtyczki na dowolnych postach, których nie posiadają.

Podatność typu Stored XSS w wtyczce Image Photo Gallery Final Tiles Grid do wersji 3.6.13. Umożliwia wstrzyknięcie trwałego skryptu, który może być wykonany w przeglądarce użytkownika.

Wtyczka Image Photo Gallery Final Tiles Grid dla WordPressa do wersji 3.6.12 włącznie jest podatna na Stored Cross-Site Scripting przez atrybut 'delay' w shortcode z powodu niewystarczającej sanityzacji wejścia i braku escapowania wyjścia. Umożliwia to uwierzytelnionym atakującym z dostępem na poziomie współautora i wyżej wstrzyknięcie dowolnych skryptów na strony, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.

Wtyczka Image Photo Gallery Final Tiles Grid dla WordPressa do wersji 3.6.11 włącznie ma brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów bezpieczeństwa kontroli dostępu.