CVE-2026-9829: SQL Injection w wtyczce Photo Gallery by 10Web dla WordPress

Co wiadomo

Wtyczka Photo Gallery by 10Web dla WordPress do wersji 1.8.41 jest podatna na czasową SQL Injection poprzez parametr shortcode 'compact_album_order_by'. Atakujący z uprawnieniami co najmniej na poziomie współtwórcy mogą wstrzykiwać dodatkowe zapytania SQL, co umożliwia wyciek wrażliwych danych z bazy.

Wpływ biznesowy

Podatność pozwala na wyciek danych z bazy przez użytkowników z uprawnieniami współtwórcy i wyższymi, co może prowadzić do naruszenia poufności informacji i potencjalnych szkód dla reputacji firmy. Atak nie wymaga pełnej autoryzacji, co zwiększa ryzyko wykorzystania w środowiskach z wieloma użytkownikami o różnym poziomie dostępu.

Rekomendowane działania administratora

Zaleca się jak najszybsze sprawdzenie dostępności aktualizacji wtyczki Photo Gallery by 10Web i ich wdrożenie. W międzyczasie ogranicz dostęp do funkcji AJAX obsługujących shortcode oraz monitoruj logi pod kątem podejrzanych zapytań. Warto również rozważyć ograniczenie uprawnień użytkowników do niezbędnego minimum i priorytetyzować działania naprawcze.

Źródła

• NVD
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference
• Reference