Photo Engine < 6.6.0 - Author+ Arbitrary Content Modification via IDOR

Özet

Türkçe özeti henüz hazır değil; şimdilik kaynağın kendi açıklamasını gösteriyoruz.

The Photo Engine (Media Organizer & Lightroom) WordPress plugin before 6.6.0 does not have proper authorization checks when updating post data through one of its REST API routes in all versions up to, and including, 6.5.8. This makes it possible for authenticated attackers, with Author-level access and above, to modify the title, content, excerpt and other fields of arbitrary posts, pages and attachments, including those belonging to other users.

Etkilenen sürümler1 yazılım

Kaynaklar3 kaynak

• CVE.org kaydı
• NVD kaydı
• wpscan.com/…erability/ef3a6287-bc56-464d-a13f-d3aee46a8df5 İstismar kodu ya da analiz

Kayıt geçmişi

1. 29 Eki 2026 14:00CVSS puanı değişti: – → 4.9
2. 29 Eki 2026 09:00Yayımlandı

İlgili açıklar

• 6,8 CVE-2026-111971Photo Engine eklentisinde koleksiyon adı üzerinden yetkili kullanıcılı kalıcı XSS açığı
• 4,9 CVE-2026-111972Photo Engine eklentisinde yetkisiz medya ekleri silinebiliyor (IDOR)
• 7,5 CVE-2026-97638Forminator Forms <= 1.57.3.1 - Insecure Direct Object Reference to Unauthenticated Arbitrary Draft Deletion and Takeover via 'previous_draft_id' Parameter
• 6,5 CVE-2026-55551ZAC: Missing per-zaaktype authorization on by-ID decision and process reads
• 6,5 CVE-2026-119708abp-next-admin 10.4.0 through 10.7.0 Cross-Tenant File Disclosure via Blob Download-By-Name
• 8,5 CVE-2026-61708SOCFortress CoPilot: Cross-Tenant Arbitrary Object-Store Write via the Data-Store Upload Endpoint (customer_user)