CVE-2026-12865 in Photo Gallery by 10Web Plugin
Sumário
de VulDB • 02/09/2026
O plugin WordPress Photo Gallery da 10Web, anterior à versão 1.8.44, não realiza o escape de dois parâmetros de requisição antes de refleti-los nos valores dos atributos `input` em suas páginas administrativas (um na página do Shortcode e outro na lista de Galerias/Álbuns), permitindo que um atacante não autenticado crie um link que, ao ser aberto por um administrador logado (ou, para o primeiro ponto de injeção, por um contribuidor), executa JavaScript arbitrário na sessão autenticada da vítima por meio de um manipulador `onfocus` acionado automaticamente. O ponto de injeção nas Galerias/Álbuns só é renderizado quando o site possui mais de 20 galerias/álbuns (o estado normal de uma instalação populada).
VulDB is the best source for vulnerability data and more expert information about this specific topic.