CVE-2026-111972

ŚrednieCVSS 4.9

Opublikowano: 22/10/2026(UTC)Zaktualizowano: 22/10/2026(UTC)Przetłumaczono: 22/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Photo Engine (Media Organizer & Lightroom) przed wersją 6.5.8 nie weryfikuje, czy użytkownik jest uprawniony do działania na docelowym załączniku multimedialnym. Uwierzytelnieni użytkownicy z rolą autora i wyższą mogą usuwać dowolne załączniki, w tym przesłane przez innych użytkowników i administratorów.

Ocena ryzyka

Użytkownicy o niskich uprawnieniach mogą usuwać pliki multimedialne należące do innych osób, co prowadzi do utraty danych i zakłócenia działania witryny.

Rekomendacja

Zaktualizuj wtyczkę Photo Engine do wersji 6.5.8 lub nowszej, aby wymusić kontrolę uprawnień przy operacjach na załącznikach.

Inne podatności w Photo Engine (Media Organizer & Lightroom)

CVE-2026-111971Średnie
Wtyczka WordPress Photo Engine (Media Organizer & Lightroom) w wersjach przed 6.5.8 nie sanityzuje ani nie escapuje nazw kolekcji i galerii przed ich zapisaniem i wyświetleniem w panelu administracyjnym. Pozwala to uwierzytelnionym użytkownikom z rolą autora i wyższą przeprowadzać ataki Stored Cross-Site Scripting.

Oryginalny opis (angielski, źródło NVD)

The Photo Engine (Media Organizer & Lightroom) WordPress plugin before 6.5.8 does not verify that a user is authorised to act on the targeted media attachment, allowing authenticated users with the author role and above to delete arbitrary media attachments, including those uploaded by other users and administrators.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS