CVE-2026-86311
ŚrednieCVSS 6.4Streszczenie
Wtyczka Photo Gallery by 10Web – Mobile-Friendly Image Gallery dla WordPressa jest podatna na trwały Cross-Site Scripting poprzez atrybuty shortcode we wszystkich wersjach do 1.8.44 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami Author lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Ocena ryzyka
Trwały XSS może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub modyfikacji treści witryny.
Rekomendacja
Zaktualizuj wtyczkę Photo Gallery by 10Web do wersji nowszej niż 1.8.44.
Inne podatności w Photo Gallery by 10Web
Zobacz wszystkie- CVE-2026-85652Średnie
Wtyczka Photo Gallery by 10Web – Mobile-Friendly Image Gallery dla WordPress jest podatna na czasową SQL Injection poprzez atrybut shortcode 'album_id' we wszystkich wersjach do 1.8.44 włącznie, z powodu niewystarczającego escapowania i braku przygotowania zapytania SQL. Uwierzytelnieni atakujący z uprawnieniami autora mogą dołączać dodatkowe zapytania SQL w celu wyodrębnienia danych.
- CVE-2026-12865Wysokie
Wtyczka Photo Gallery by 10Web dla WordPressa przed wersją 1.8.44 nie escapuje dwóch parametrów żądania przed odzwierciedleniem ich w wartościach atrybutów wejściowych na stronach administracyjnych (jeden na stronie Shortcode, drugi na liście Galerie/Albumy). Niezalogowany atakujący może stworzyć link, który po otwarciu przez zalogowanego administratora (lub dla pierwszego sinka – współautora) wykonuje dowolny JavaScript w sesji ofiary za pomocą automatycznie wyzwalanego handlera onfocus. Sink Galerie/Albumy renderuje się tylko, gdy witryna ma więcej niż 20 galerii/albumów.
- CVE-2026-9829Średnie
Wtyczka Photo Gallery by 10Web dla WordPress do wersji 1.8.41 jest podatna na czasowe SQL Injection przez parametr shortcode 'compact_album_order_by'. Uwierzytelnieni atakujący z dostępem na poziomie contributor mogą wstrzykiwać dodatkowe zapytania SQL, a następnie wywołać je bez uwierzytelnienia przez inny handler AJAX.
- CVE-2026-49771Wysokie
Wtyczka Photo Gallery by 10Web do WordPressa w wersjach do 1.8.41 zawiera podatność na ślepą iniekcję SQL. Atakujący może wstrzykiwać zapytania SQL poprzez niesprawdzane dane wejściowe.
Oryginalny opis (angielski, źródło NVD)
The Photo Gallery by 10Web – Mobile-Friendly Image Gallery plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the Shortcode Attributes in all versions up to, and including, 1.8.44 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Author-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS