Уязвимость Stored XSS в WordPress-плагине Photo Engine (CVE-2026-111971)
В WordPress-плагине Photo Engine (Media Organizer & Lightroom) версий до 6.5.8 обнаружена уязвимость Stored XSS. Пользователи с ролью «автор» и выше могут внедрять вредоносные скрипты через названия коллекций и галерей. Проблема затрагивает административную панель сайта.
Подробности
Уязвимость типа Stored Cross-Site Scripting (XSS) затрагивает версии плагина Photo Engine (Media Organizer & Lightroom) до 6.5.8 включительно. По данным описания CVE, плагин не выполняет санитизацию и экранирование названий коллекций и галерей перед их сохранением и последующим выводом в административной панели. В результате аутентифицированный пользователь с ролью «автор» (author) и выше может сохранить в названии коллекции или галереи вредоносный скрипт, который затем будет исполняться в браузере других пользователей, просматривающих административный дашборд. Это создаёт риск компрометации учётных записей с повышенными привилегиями, кражи сессионных данных и выполнения действий от имени администратора. Сведения о значении базовой оценки CVSS в записи CVE не приводятся.Что делать
Основная рекомендация — обновить плагин Photo Engine (Media Organizer & Lightroom) до версии 6.5.8 или более поздней, где проблема устранена. Перед обновлением следует создать резервную копию сайта и базы данных. Если обновление невозможно в кратчайшие сроки, рекомендуется ограничить число пользователей с ролями «автор» и выше, а также пересмотреть их права. Дополнительной мерой может стать усиление контроля над содержимым, вводимым в названия коллекций и галерей, и мониторинг подозрительной активности в административной панели. Итог: уязвимость CVE-2026-111971 позволяет аутентифицированным пользователям с невысокими привилегиями проводить Stored XSS-атаки на административную панель WordPress-сайта. Своевременное обновление плагина до версии 6.5.8 закрывает эту брешь и снижает риск компрометации привилегированных учётных записей.Источник: CVE Project (cvelistV5)