CVE-2026-81653
NieznaneStreszczenie
Wtyczka WordPress Photo Gallery, Sliders, Proofing and przed wersją 4.5.0 nie weryfikuje, czy użytkownik działający na obrazie jest właścicielem galerii, do której on należy. Pozwala to użytkownikom, którym administrator przyznał uprawnienie do zarządzania galerią, usuwać, kopiować i ponownie tagować dowolne obrazy w witrynie, w tym obrazy w galeriach należących do innych użytkowników.
Ocena ryzyka
Umożliwia to nieuprawnioną modyfikację i usuwanie treści innych użytkowników, co narusza integralność danych i może prowadzić do utraty treści.
Rekomendacja
Zaktualizuj wtyczkę Photo Gallery, Sliders, Proofing and do wersji 4.5.0 lub nowszej.
Inne podatności w Photo Gallery, Sliders, Proofing and WordPress plugin
Zobacz wszystkie- CVE-2026-81654Nieznane
Wtyczka WordPress Photo Gallery, Sliders, Proofing and przed wersją 4.5.0 nie sprawdza, czy użytkownik posiada uprawnienie do opcji, przed zapisaniem ustawień rozmiaru obrazów. Pozwala to użytkownikom, którym administrator przyznał jedynie uprawnienie do zarządzania galerią, zmieniać ustawienia obowiązujące w całej witrynie.
- CVE-2026-81652Nieznane
Wtyczka WordPress Photo Gallery, Sliders, Proofing and przed wersją 4.5.0 nie weryfikuje, czy żądający użytkownik jest uprawniony do danego rekordu obrazu, przed jego zwróceniem. Pozwala to użytkownikom z rolą współpracownika i wyższą czytać przechowywane metadane dowolnego obrazu w witrynie, w tym obrazów w galeriach należących do innych użytkowników. Ujawniane dane obejmują przechowywany podzbiór EXIF (producent i model aparatu, znacznik czasu wykonania) oraz wewnętrzne sumy kontrolne i identyfikatory, które ścieżka odczytu wtyczki zastrzeżona jest dla administratorów.
- CVE-2026-81651Nieznane
Wtyczka WordPress Photo Gallery, Sliders, Proofing and przed wersją 4.5.0 nie weryfikuje, czy użytkownik zapisujący galerię jest jej właścicielem. Pozwala to dowolnemu użytkownikowi, któremu administrator przyznał uprawnienie do zarządzania galerią, nadpisać przechowywane ustawienia dowolnej galerii w witrynie, w tym jej ścieżkę w systemie plików, oraz galerii należących do innych użytkowników.
- CVE-2026-81650Nieznane
Wtyczka WordPress Photo Gallery, Sliders, Proofing and przed wersją 4.5.0 nieprawidłowo waliduje rozszerzenia plików wyodrębnianych z przesłanego archiwum, ponieważ zmienna jest ponownie używana jako licznik pętli, przez co sprawdzenie zawsze przechodzi. Pozwala to użytkownikom, którym administrator przyznał uprawnienie do zarządzania galerią, zapisywać dowolne pliki w katalogu dostępnym przez sieć, a na hostach, które je wykonują, uruchamiać dowolny kod.
Oryginalny opis (angielski, źródło NVD)
The Photo Gallery, Sliders, Proofing and WordPress plugin before 4.5.0 does not verify that the user acting on an image owns the gallery it belongs to, allowing users granted its gallery-management capability by an administrator to delete, copy and re-tag any image on the site, including images in galleries belonging to other users.