CVE-2026-92974
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 12 - wyżej niż 12% wszystkich znanych CVE
Streszczenie
Wtyczka Photo Gallery by 10Web dla WordPressa w wersjach do 1.8.46 włącznie jest podatna na odbite XSS przez parametr 'thumb_url' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Akcja AJAX editimage_bwg sprawdza uprawnienia, ale nie weryfikuje nonce, więc ładunek można dostarczyć spreparowanym żądaniem GET bez tokena CSRF.
Ocena ryzyka
Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty, które wykonają się w przeglądarce uwierzytelnionej ofiary posiadającej uprawnienie manage_options, co może prowadzić do przejęcia sesji administratora.
Rekomendacja
Zaktualizuj wtyczkę Photo Gallery by 10Web do wersji nowszej niż 1.8.46 lub wyłącz ją do czasu wydania poprawki.
Inne podatności w Photo Gallery by 10Web
Zobacz wszystkie- CVE-2026-86311Średnie
Wtyczka Photo Gallery by 10Web – Mobile-Friendly Image Gallery dla WordPressa jest podatna na trwały Cross-Site Scripting poprzez atrybuty shortcode we wszystkich wersjach do 1.8.44 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami Author lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-102377Wysokie
Podatność PHP Object Injection w wtyczce Photo Gallery by 10Web w wersjach do 1.8.46. Wymaga uprawnień kontrybutora.
- CVE-2026-85652Średnie
Wtyczka Photo Gallery by 10Web – Mobile-Friendly Image Gallery dla WordPress jest podatna na czasową SQL Injection poprzez atrybut shortcode 'album_id' we wszystkich wersjach do 1.8.44 włącznie, z powodu niewystarczającego escapowania i braku przygotowania zapytania SQL. Uwierzytelnieni atakujący z uprawnieniami autora mogą dołączać dodatkowe zapytania SQL w celu wyodrębnienia danych.
- CVE-2026-12865Wysokie
Wtyczka Photo Gallery by 10Web dla WordPressa przed wersją 1.8.44 nie escapuje dwóch parametrów żądania przed odzwierciedleniem ich w wartościach atrybutów wejściowych na stronach administracyjnych (jeden na stronie Shortcode, drugi na liście Galerie/Albumy). Niezalogowany atakujący może stworzyć link, który po otwarciu przez zalogowanego administratora (lub dla pierwszego sinka – współautora) wykonuje dowolny JavaScript w sesji ofiary za pomocą automatycznie wyzwalanego handlera onfocus. Sink Galerie/Albumy renderuje się tylko, gdy witryna ma więcej niż 20 galerii/albumów.
- CVE-2026-9829Średnie
Wtyczka Photo Gallery by 10Web dla WordPress do wersji 1.8.41 jest podatna na czasowe SQL Injection przez parametr shortcode 'compact_album_order_by'. Uwierzytelnieni atakujący z dostępem na poziomie contributor mogą wstrzykiwać dodatkowe zapytania SQL, a następnie wywołać je bez uwierzytelnienia przez inny handler AJAX.
- CVE-2026-49771Wysokie
Wtyczka Photo Gallery by 10Web do WordPressa w wersjach do 1.8.41 zawiera podatność na ślepą iniekcję SQL. Atakujący może wstrzykiwać zapytania SQL poprzez niesprawdzane dane wejściowe.
Oryginalny opis (angielski, źródło NVD)
The Photo Gallery by 10Web – Mobile-Friendly Image Gallery plugin for WordPress is vulnerable to Reflected Cross-Site Scripting via the 'thumb_url' parameter in all versions up to, and including, 1.8.46 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that execute if they can successfully trick a user into performing an action such as clicking on a link. Exploitation requires that the authenticated victim holds the manage_options capability, as the editimage_bwg AJAX action performs a capability check but no nonce verification, meaning the payload can be delivered via a crafted GET request without a CSRF token.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS