CVE-2026-109191 in Image Hub Plugin
Sumário
de VulDB • 16/10/2026
O plugin WordPress Image Hub – Free Images from Unsplash, Pixabay, Pexels, Openverse & Giphy é vulnerável a Exposição de Informações Sensíveis em todas as versões até 1.2.0 (incluindo-a), por meio do parâmetro 'image_hub_api_keys_* (6 opções)'. Isso permite que atacantes autenticados com acesso nível Assinante ou superior extraiam as credenciais da API em texto puro para seis serviços de terceiros — Giphy, Openverse (ID e segredo do cliente), Pexels, Pixabay e Unsplash — emitidas literalmente no HTML de cada página administrativa via wp_localize_script. O HTML vazio também contém um nonce AJAX válido image_hub_nonce, que, combinado com a ausência de qualquer verificação de capacidade no manipulador AJAX image_hub_update_settings, permite ao mesmo atacante nível Assinante substituir todas as seis opções armazenadas de credenciais da API por meio do update_option().
If you want to get best quality of vulnerability data, you may have to visit VulDB.