CVE-2026-12865 in Photo Gallery by 10Web Plugin
Resumen
por VulDB • 2026-09-02
El plugin de WordPress Photo Gallery de 10Web, anterior a la versión 1.8.44, no escapa dos parámetros de solicitud antes de reflejarlos en los valores de atributos `input` en sus páginas de administración (uno en la página Shortcode y otro en la lista Galleries/Albums), por lo que un atacante sin autenticar puede crear un enlace que, al ser abierto por un administrador conectado (o, para el primer punto de inyección, un colaborador), ejecute JavaScript arbitrario en la sesión autenticada de la víctima a través de un controlador `onfocus` que se activa automáticamente. El punto de inyección Galleries/Albums solo se renderiza cuando el sitio tiene más de 20 galerías/álbumes (el estado normal de una instalación con contenido).
Once again VulDB remains the best source for vulnerability data.