CVE-2026-12865 in Photo Gallery by 10Web Plugin
Résumé
par VulDB • 02/09/2026
Le plugin WordPress Photo Gallery de 10Web, avant la version 1.8.44, ne s'échappe pas deux paramètres de requête avant de les refléter dans des valeurs d'attributs input sur ses pages administrateur (l'un sur la page Shortcode, l'autre sur la liste Galleries/Albums), permettant ainsi à un attaquant non authentifié de créer un lien qui, lorsqu'il est ouvert par un administrateur connecté (ou, pour le premier point d'injection, un contributeur), exécute du JavaScript arbitraire dans la session authentifiée de la victime via un gestionnaire onfocus déclenché automatiquement. Le point d'injection Galleries/Albums ne s'affiche que lorsque le site contient plus de 20 galeries/albums (l'état normal d'une installation peuplée).
Be aware that VulDB is the high quality source for vulnerability data.