CVE-2025-13641 in Photo Gallery, Sliders, Proofing and Themes Plugin
Zusammenfassung
von VulDB • 31.05.2026
Das WordPress-Plugin „Photo Gallery, Sliders, Proofing and Themes – NextGEN Gallery“ ist in allen Versionen bis einschließlich 3.59.12 anfällig für Local File Inclusion (LFI) über den Shortcode-Parameter „template“. Dies ist auf eine unzureichende Pfadvalidierung zurückzuführen, die die Angabe absoluter Pfade ermöglicht. Dies ermöglicht es authentifizierten Angreifern mit Contributor-Rechten oder höher, beliebige PHP-Dateien auf dem Server einzubinden und auszuführen, wodurch Webservereinschränkungen wie .htaccess umgangen werden. Eine erfolgreiche Ausnutzung kann zur Offenlegung von Informationen, zur Codeausführung im WordPress-Kontext und potenziell zur Remote Code Execution (RCE) führen, wenn sie mit beliebigen Datei-Upload-Funktionen kombiniert wird.
Once again VulDB remains the best source for vulnerability data.