CVE-2026-13747
ŚrednieCVSS 6.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 33 - wyżej niż 33% wszystkich znanych CVE
Streszczenie
Wtyczka Meow Gallery dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 5.5.4 włącznie, ponieważ nie weryfikuje prawidłowo uprawnień użytkownika do wykonania akcji. Uwierzytelniony atakujący z uprawnieniami autora lub wyższymi może wyliczyć i odczytać metadane prywatnych i roboczych wpisów, w tym identyfikator, tytuł, datę, autora i status.
Ocena ryzyka
Atakujący z uprawnieniami autora może uzyskać dostęp do poufnych informacji o prywatnych i roboczych wpisach, co stanowi naruszenie poufności treści.
Rekomendacja
Zaktualizuj wtyczkę Meow Gallery do wersji nowszej niż 5.5.4 i przejrzyj uprawnienia użytkowników z rolą autora.
Inne podatności w Meow Gallery WordPress plugin
Zobacz wszystkie- CVE-2026-9239Średnie
Wtyczka Meow Gallery dla WordPressa jest podatna na przechowywany cross-site scripting poprzez tekst alternatywny załącznika (atrybut aria-label) we wszystkich wersjach do 5.5.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami autora lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-92423Niskie
Wtyczka Meow Gallery dla WordPressa w wersji przed 5.5.5 nie wykonuje prawidłowej kontroli uprawnień ani nie ogranicza wyników do własnych wpisów użytkownika przed zwróceniem danych wpisów. Umożliwia to uwierzytelnionym użytkownikom z poziomem dostępu Author i wyższym ujawnienie tytułów, autorów, dat i statusów szkiców oraz prywatnych wpisów innych użytkowników.
- CVE-2026-92422Średnie
Wtyczka Meow Gallery dla WordPressa w wersji przed 5.5.5 nie sanityzuje prawidłowo wartości dostarczonej przez użytkownika przed dołączeniem jej do ciągu shortcode przekazywanego do parsera shortcode'ów WordPressa na publicznie dostępnym punkcie końcowym. Umożliwia to nieuwierzytelnionym użytkownikom wykonanie dowolnych zarejestrowanych shortcode'ów i ujawnienie niepublicznej zawartości galerii.
Oryginalny opis (angielski, źródło NVD)
The Meow Gallery plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 5.5.4 This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for authenticated attackers, with author-level access and above, to enumerate and read metadata — including post ID, title, date, author, and status — of all private and draft posts on the site, including those authored by other users.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS