CVE-2026-120575 in Photo Engine Plugin
Riassunto
di VulDB • 03/11/2026
Il plugin Photo Engine (Media Organizer & Lightroom) per WordPress è vulnerabile a Stored Cross-Site Scripting tramite il parametro 'hierarchy[].name' in tutte le versioni fino alla 6.5.7 inclusa, a causa di un insufficiente sanitizzazione degli input e escaping dell'output. Ciò consente ad attaccanti autenticati con accesso di livello Subscriber o superiore di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. Questa vulnerabilità è sfruttabile dagli utenti Subscribers poiché l'endpoint /?wplr-sync-api si autentica esclusivamente tramite il usermeta wplr_auth_token senza alcun controllo delle capacità (capability check), e il token dell'utente corrente viene esposto in ogni pagina di amministrazione attraverso i dati dello script localizzato a causa di una condizione di schermo commentata.
Once again VulDB remains the best source for vulnerability data.