CVE-2026-49771
WysokieCVSS 7.6Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 14 - wyżej niż 14% wszystkich znanych CVE
Streszczenie
Wtyczka Photo Gallery by 10Web do WordPressa w wersjach do 1.8.41 zawiera podatność na ślepą iniekcję SQL. Atakujący może wstrzykiwać zapytania SQL poprzez niesprawdzane dane wejściowe.
Ocena ryzyka
Atakujący może wykraść lub zmodyfikować dane z bazy danych WordPressa, w tym hasła i dane użytkowników.
Rekomendacja
Zaktualizuj wtyczkę Photo Gallery by 10Web do najnowszej wersji.
Inne podatności w Photo Gallery by 10Web
Zobacz wszystkie- CVE-2026-12865Wysokie
Wtyczka Photo Gallery by 10Web dla WordPressa przed wersją 1.8.44 nie escapuje dwóch parametrów żądania przed odzwierciedleniem ich w wartościach atrybutów wejściowych na stronach administracyjnych (jeden na stronie Shortcode, drugi na liście Galerie/Albumy). Niezalogowany atakujący może stworzyć link, który po otwarciu przez zalogowanego administratora (lub dla pierwszego sinka – współautora) wykonuje dowolny JavaScript w sesji ofiary za pomocą automatycznie wyzwalanego handlera onfocus. Sink Galerie/Albumy renderuje się tylko, gdy witryna ma więcej niż 20 galerii/albumów.
- CVE-2026-9829Średnie
Wtyczka Photo Gallery by 10Web dla WordPress do wersji 1.8.41 jest podatna na czasowe SQL Injection przez parametr shortcode 'compact_album_order_by'. Uwierzytelnieni atakujący z dostępem na poziomie contributor mogą wstrzykiwać dodatkowe zapytania SQL, a następnie wywołać je bez uwierzytelnienia przez inny handler AJAX.
Oryginalny opis (angielski, źródło NVD)
Improper Neutralization of Special Elements used in an SQL Command ('SQL Injection') vulnerability in 10Web Photo Gallery by 10Web allows Blind SQL Injection. This issue affects Photo Gallery by 10Web: from n/a through 1.8.41.