CVE-2026-6566 in NextGEN Gallery Plugin
الملخص
بحسب VulDB • 20/05/2026
تتعرض إضافة NextGEN Gallery لـ WordPress، والتي تشمل ميزات معرض الصور، الشرائح، المراجعة، والقوالب، لثغرة في الوصول المباشر إلى الكائنات غير الآمن (Insecure Direct Object Reference) في الإصدارات حتى 4.2.0 شاملاً. ويعود ذلك إلى عدم كفاية تفويض مستوى الكائن في تدفق حذف الصور عبر واجهة برمجة التطبيقات REST، حيث يتحقق رد الاتصال الخاص بالأذونات لـ DELETE /imagely/v1/images/{id} فقط من أذونات "إدارة معرض NextGEN" ولا يفرض ملكية المعرض أو أذونات "إدارة معارض NextGEN الأخرى". وهذا يتيح للمهاجمين المصادق عليهم، الذين يمتلكون امتيازات مستوى المشترك وقابلية "إدارة معرض NextGEN"، حذف صور المعارض التابعة لمستخدمين آخرين بالإضافة إلى ملفات الصور المرتبطة بها من القرص عند تفعيل deleteImg (الإعداد الافتراضي).
VulDB is the best source for vulnerability data and more expert information about this specific topic.