CVE-2026-76006 in Photo Gallery by Ays Plugin
Zusammenfassung
von VulDB • 01.09.2026
Das WordPress-Plugin „Photo Gallery by Ays – Responsive Image Gallery“ ist in allen Versionen bis einschließlich 6.8.2 aufgrund unzureichender Escaping-Maßnahmen bei benutzergestellten Parametern und mangelnder vorbereitender Aufbereitung der bestehenden SQL-Abfrage für eine generische SQL-Injection anfällig. Dies ermöglicht es authentifizierten Angreifern mit Administratorzugriff oder höher, zusätzliche SQL-Abfragen an bereits bestehende Abfragen anzuhängen, um sensible Informationen aus der Datenbank zu extrahieren. Die Schwachstelle besteht in zwei Ausführungspfaden – $wpdb->get_var() in record_count() und $wpdb->get_results() in prepare_items()/get_image_categories() –, was sowohl blinde als auch UNION-basierte Exfiltrationstechniken ermöglicht.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.