CVE-2026-115259

ŚrednieCVSS 4.9

Opublikowano: 29/10/2026(UTC)Zaktualizowano: 29/10/2026(UTC)Przetłumaczono: 29/10/2026(UTC)NVD NIST

Prawdopodobieństwo exploitacji (EPSS)

Niskie ryzyko

0.19%

Percentyl 9 - wyżej niż 9% wszystkich znanych CVE

Streszczenie

Wtyczka WordPress Photo Engine (Media Organizer & Lightroom) przed wersją 6.6.0 (w tym 6.5.8 i starsze) nie ma prawidłowych kontroli uprawnień podczas aktualizacji danych wpisów przez jedną z tras REST API. Umożliwia to uwierzytelnionym atakującym z poziomem dostępu Author i wyższym modyfikację tytułu, treści, zajawki i innych pól dowolnych wpisów, stron i załączników, w tym należących do innych użytkowników.

Ocena ryzyka

Atakujący z uprawnieniami Author może modyfikować treści innych użytkowników, co może prowadzić do defacementu, wstrzyknięcia złośliwych treści lub naruszenia integralności danych. Ryzyko dotyczy witryn z wieloma autorami lub redaktorami.

Rekomendacja

Zaktualizuj wtyczkę Photo Engine do wersji 6.6.0 lub nowszej. Przejrzyj uprawnienia użytkowników i ogranicz role Author, jeśli to możliwe.

Inne podatności w Photo Engine (Media Organizer & Lightroom) WordPress plugin

CVE-2026-107770Średnie
Wtyczka Photo Engine (Media Organizer & Lightroom) dla WordPressa (wersje do 6.5.6 włącznie) jest podatna na obejście autoryzacji, ponieważ nie weryfikuje poprawnie uprawnień użytkownika. Nieuwierzytelniony atakujący może trwale usunąć dowolne załączniki multimedialne i przesłać nowe pliki; użytkownik z poziomem subskrybenta może uzyskać token wplr_auth_token i wykonać destrukcyjne akcje.

Oryginalny opis (angielski, źródło NVD)

The Photo Engine (Media Organizer & Lightroom) WordPress plugin before 6.6.0 does not have proper authorization checks when updating post data through one of its REST API routes in all versions up to, and including, 6.5.8. This makes it possible for authenticated attackers, with Author-level access and above, to modify the title, content, excerpt and other fields of arbitrary posts, pages and attachments, including those belonging to other users.

Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS