CVE-2026-92423
NiskieCVSS 2.7Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 9 - wyżej niż 9% wszystkich znanych CVE
Streszczenie
Wtyczka Meow Gallery dla WordPressa w wersji przed 5.5.5 nie wykonuje prawidłowej kontroli uprawnień ani nie ogranicza wyników do własnych wpisów użytkownika przed zwróceniem danych wpisów. Umożliwia to uwierzytelnionym użytkownikom z poziomem dostępu Author i wyższym ujawnienie tytułów, autorów, dat i statusów szkiców oraz prywatnych wpisów innych użytkowników.
Ocena ryzyka
Uwierzytelniony użytkownik z niskimi uprawnieniami może uzyskać dostęp do informacji o prywatnych i roboczych wpisach innych użytkowników. Może to prowadzić do wycieku poufnych danych i informacji o planowanych treściach.
Rekomendacja
Zaktualizować wtyczkę Meow Gallery do wersji 5.5.5 lub nowszej. Zaleca się również przegląd uprawnień użytkowników z rolą Author i wyższą.
Inne podatności w Meow Gallery WordPress plugin
Zobacz wszystkie- CVE-2026-9239Średnie
Wtyczka Meow Gallery dla WordPressa jest podatna na przechowywany cross-site scripting poprzez tekst alternatywny załącznika (atrybut aria-label) we wszystkich wersjach do 5.5.1 włącznie, z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Uwierzytelniony atakujący z uprawnieniami autora lub wyższymi może wstrzyknąć dowolne skrypty, które wykonają się, gdy użytkownik odwiedzi zainfekowaną stronę.
- CVE-2026-13747Średnie
Wtyczka Meow Gallery dla WordPressa jest podatna na obejście autoryzacji we wszystkich wersjach do 5.5.4 włącznie, ponieważ nie weryfikuje prawidłowo uprawnień użytkownika do wykonania akcji. Uwierzytelniony atakujący z uprawnieniami autora lub wyższymi może wyliczyć i odczytać metadane prywatnych i roboczych wpisów, w tym identyfikator, tytuł, datę, autora i status.
- CVE-2026-92422Średnie
Wtyczka Meow Gallery dla WordPressa w wersji przed 5.5.5 nie sanityzuje prawidłowo wartości dostarczonej przez użytkownika przed dołączeniem jej do ciągu shortcode przekazywanego do parsera shortcode'ów WordPressa na publicznie dostępnym punkcie końcowym. Umożliwia to nieuwierzytelnionym użytkownikom wykonanie dowolnych zarejestrowanych shortcode'ów i ujawnienie niepublicznej zawartości galerii.
Oryginalny opis (angielski, źródło NVD)
The Meow Gallery WordPress plugin before 5.5.5 does not perform a proper capability check or restrict results to the requesting user's own posts before returning post data, allowing authenticated users with Author-level access and above to disclose the titles, authors, dates and statuses of other users' draft and private posts.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS