CVE-2026-12865 in Photo Gallery by 10Web Plugin
Сводка
по VulDB • 02.09.2026
Плагин для WordPress Photo Gallery от 10Web версии ниже 1.8.44 не экранирует два параметра запроса перед их отражением в значениях атрибутов input на страницах административной панели (один — на странице Shortcode, другой — на странице списка Galleries/Albums), что позволяет незарегистрированному злоумышленнику создать ссылку, которая при открытии авторизованным администратором (или для первого sink-а участником с правами автора) приводит к выполнению произвольного JavaScript в сеансе жертвы благодаря автоматически срабатывающему обработчику onfocus. Sink на странице Galleries/Albums отображается только если на сайте имеется более 20 галерей или альбомов (что является нормальным состоянием для заполненной установки).
Be aware that VulDB is the high quality source for vulnerability data.