CVE-2026-81654
NieznaneStreszczenie
Wtyczka WordPress Photo Gallery, Sliders, Proofing and przed wersją 4.5.0 nie sprawdza, czy użytkownik posiada uprawnienie do opcji, przed zapisaniem ustawień rozmiaru obrazów. Pozwala to użytkownikom, którym administrator przyznał jedynie uprawnienie do zarządzania galerią, zmieniać ustawienia obowiązujące w całej witrynie.
Ocena ryzyka
Nieuprawniona zmiana globalnych ustawień witryny może prowadzić do nieprawidłowego działania lub pogorszenia jakości wyświetlania obrazów w całym serwisie.
Rekomendacja
Zaktualizuj wtyczkę Photo Gallery, Sliders, Proofing and do wersji 4.5.0 lub nowszej.
Inne podatności w Photo Gallery, Sliders, Proofing and WordPress plugin
Zobacz wszystkie- CVE-2026-81653Nieznane
Wtyczka WordPress Photo Gallery, Sliders, Proofing and przed wersją 4.5.0 nie weryfikuje, czy użytkownik działający na obrazie jest właścicielem galerii, do której on należy. Pozwala to użytkownikom, którym administrator przyznał uprawnienie do zarządzania galerią, usuwać, kopiować i ponownie tagować dowolne obrazy w witrynie, w tym obrazy w galeriach należących do innych użytkowników.
- CVE-2026-81652Nieznane
Wtyczka WordPress Photo Gallery, Sliders, Proofing and przed wersją 4.5.0 nie weryfikuje, czy żądający użytkownik jest uprawniony do danego rekordu obrazu, przed jego zwróceniem. Pozwala to użytkownikom z rolą współpracownika i wyższą czytać przechowywane metadane dowolnego obrazu w witrynie, w tym obrazów w galeriach należących do innych użytkowników. Ujawniane dane obejmują przechowywany podzbiór EXIF (producent i model aparatu, znacznik czasu wykonania) oraz wewnętrzne sumy kontrolne i identyfikatory, które ścieżka odczytu wtyczki zastrzeżona jest dla administratorów.
- CVE-2026-81651Nieznane
Wtyczka WordPress Photo Gallery, Sliders, Proofing and przed wersją 4.5.0 nie weryfikuje, czy użytkownik zapisujący galerię jest jej właścicielem. Pozwala to dowolnemu użytkownikowi, któremu administrator przyznał uprawnienie do zarządzania galerią, nadpisać przechowywane ustawienia dowolnej galerii w witrynie, w tym jej ścieżkę w systemie plików, oraz galerii należących do innych użytkowników.
- CVE-2026-81650Nieznane
Wtyczka WordPress Photo Gallery, Sliders, Proofing and przed wersją 4.5.0 nieprawidłowo waliduje rozszerzenia plików wyodrębnianych z przesłanego archiwum, ponieważ zmienna jest ponownie używana jako licznik pętli, przez co sprawdzenie zawsze przechodzi. Pozwala to użytkownikom, którym administrator przyznał uprawnienie do zarządzania galerią, zapisywać dowolne pliki w katalogu dostępnym przez sieć, a na hostach, które je wykonują, uruchamiać dowolny kod.
Oryginalny opis (angielski, źródło NVD)
The Photo Gallery, Sliders, Proofing and WordPress plugin before 4.5.0 does not check that a user holds its options capability before saving image sizing settings, allowing users granted only its gallery-management capability by an administrator to change settings that apply across the whole site.