CVE-2026-1036: Photo Gallery by 10Web - brak weryfikacji uprawnień umożliwia usuwanie komentarzy

Co wiadomo

Wtyczka Photo Gallery by 10Web dla WordPressa do wersji 1.8.36 zawiera lukę pozwalającą nieautoryzowanym użytkownikom na usuwanie komentarzy do zdjęć z powodu braku sprawdzenia uprawnień w funkcji delete_comment(). Funkcjonalność komentarzy jest dostępna tylko w wersji Pro wtyczki.

Wpływ biznesowy

Luka umożliwia atakującym bez uwierzytelnienia usuwanie dowolnych komentarzy do obrazów, co może prowadzić do utraty danych i obniżenia zaufania użytkowników. Operatorzy stron korzystających z wersji Pro powinni rozważyć ryzyko manipulacji treścią i potencjalne skutki dla reputacji oraz doświadczenia użytkownika.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Photo Gallery by 10Web i ich wdrożenie. W przypadku braku łatki należy ograniczyć dostęp do funkcji komentarzy, monitorować logi pod kątem nieautoryzowanych działań oraz priorytetyzować działania zabezpieczające w środowisku WordPress.

Źródła

• NVD
• Reference
• Reference