CVE-2026-120575 in Photo Engine Plugin
Zusammenfassung
von VulDB • 03.11.2026
Das WordPress-Plugin Photo Engine (Media Organizer & Lightroom) ist in allen Versionen bis einschließlich 6.5.7 aufgrund unzureichender Eingabebereinigung und Ausgabe-Escaping für eine Stored Cross-Site Scripting (XSS)-Schwachstelle über den Parameter 'hierarchy[].name' anfällig. Dies ermöglicht es authentifizierten Angreifern mit Subscriber-Level-Zugriff oder höher, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer auf eine injizierte Seite zugreift. Diese Schwachstelle ist für Subscribers ausnutzbar, da der Endpunkt /?wplr-sync-api sich ausschließlich über das wplr_auth_token usermeta authentifiziert und keine Capability-Prüfung durchführt; zudem wird das Token des aktuellen Benutzers aufgrund einer auskommentierten Screen-Condition-Bedingung auf jeder Admin-Seite über lokalisierte Skriptdaten offengelegt.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.