CVE-2026-86311
ŚrednieCVSS 6.4Streszczenie
Wtyczka Photo Gallery by 10Web – Mobile-Friendly Image Gallery dla WordPressa jest podatna na trwały Cross-Site Scripting poprzez atrybuty shortcode we wszystkich wersjach do 1.8.44 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami Author lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
Ocena ryzyka
Trwały XSS może prowadzić do przejęcia sesji użytkowników, kradzieży danych lub modyfikacji treści witryny.
Rekomendacja
Zaktualizuj wtyczkę Photo Gallery by 10Web do wersji nowszej niż 1.8.44.
Inne podatności w Photo Gallery by 10Web
Zobacz wszystkie- CVE-2026-18557Średnie
Wtyczka Photo Gallery by 10Web – Mobile-Friendly Image Gallery dla WordPressa jest podatna na odbite skrypty krzyżowe (Reflected XSS) poprzez parametr 'title' we wszystkich wersjach do 1.8.42 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Nieuwierzytelniony atakujący może wstrzyknąć dowolne skrypty do stron, które wykonają się, jeśli uda mu się nakłonić użytkownika do kliknięcia linku.
- CVE-2026-42715Wysokie
Nieuwierzytelnione podatności na ataki XSS w wtyczce Photo Gallery by 10Web w wersjach do 1.8.47.
- CVE-2026-92974Średnie
Wtyczka Photo Gallery by 10Web dla WordPressa w wersjach do 1.8.46 włącznie jest podatna na odbite XSS przez parametr 'thumb_url' z powodu niewystarczającej sanityzacji danych wejściowych i escapowania danych wyjściowych. Akcja AJAX editimage_bwg sprawdza uprawnienia, ale nie weryfikuje nonce, więc ładunek można dostarczyć spreparowanym żądaniem GET bez tokena CSRF.
- CVE-2026-102377Wysokie
Podatność PHP Object Injection w wtyczce Photo Gallery by 10Web w wersjach do 1.8.46. Wymaga uprawnień kontrybutora.
- CVE-2026-85652Średnie
Wtyczka Photo Gallery by 10Web – Mobile-Friendly Image Gallery dla WordPress jest podatna na czasową SQL Injection poprzez atrybut shortcode 'album_id' we wszystkich wersjach do 1.8.44 włącznie, z powodu niewystarczającego escapowania i braku przygotowania zapytania SQL. Uwierzytelnieni atakujący z uprawnieniami autora mogą dołączać dodatkowe zapytania SQL w celu wyodrębnienia danych.
- CVE-2026-12865Wysokie
Wtyczka Photo Gallery by 10Web dla WordPressa przed wersją 1.8.44 nie escapuje dwóch parametrów żądania przed odzwierciedleniem ich w wartościach atrybutów wejściowych na stronach administracyjnych (jeden na stronie Shortcode, drugi na liście Galerie/Albumy). Niezalogowany atakujący może stworzyć link, który po otwarciu przez zalogowanego administratora (lub dla pierwszego sinka – współautora) wykonuje dowolny JavaScript w sesji ofiary za pomocą automatycznie wyzwalanego handlera onfocus. Sink Galerie/Albumy renderuje się tylko, gdy witryna ma więcej niż 20 galerii/albumów.
- CVE-2026-9829Średnie
Wtyczka Photo Gallery by 10Web dla WordPress do wersji 1.8.41 jest podatna na czasowe SQL Injection przez parametr shortcode 'compact_album_order_by'. Uwierzytelnieni atakujący z dostępem na poziomie contributor mogą wstrzykiwać dodatkowe zapytania SQL, a następnie wywołać je bez uwierzytelnienia przez inny handler AJAX.
- CVE-2026-49771Wysokie
Wtyczka Photo Gallery by 10Web do WordPressa w wersjach do 1.8.41 zawiera podatność na ślepą iniekcję SQL. Atakujący może wstrzykiwać zapytania SQL poprzez niesprawdzane dane wejściowe.
Oryginalny opis (angielski, źródło NVD)
The Photo Gallery by 10Web – Mobile-Friendly Image Gallery plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the Shortcode Attributes in all versions up to, and including, 1.8.44 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with Author-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS