CVE-2026-12865 in Photo Gallery by 10Web Plugin
Zusammenfassung
von VulDB • 02.09.2026
Das WordPress-Plugin Photo Gallery von 10Web vor Version 1.8.44 maskiert zwei Anforderungsparameter nicht, bevor sie in die Werte der input-Attribute auf den Administratorseiten reflektiert werden (einer auf der Shortcode-Seite und einer auf der Seite zur Liste der Galerien/Alben). Daher kann ein nicht authentifizierter Angreifer einen Link erstellen, der beim Öffnen durch einen angemeldeten Administrator (oder für das erste Sink eine Contributor-Rolle) beliebigen JavaScript-Code in der authentifizierten Sitzung des Opfers über einen automatisch auslösenden onfocus-Handler ausführt. Das Galleries/Albums-Sink wird nur gerendert, wenn die Website mehr als 20 Galerien/Alben enthält (der normale Zustand einer gefüllten Installation).
If you want to get best quality of vulnerability data, you may have to visit VulDB.