یک آسیب‌پذیری از نوع Reflected Cross-Site Scripting (XSS) در افزونه Photo Gallery by 10Web (یک گالری تصاویر سازگار با موبایل برای WordPress) شناسایی شده است که تحت شناسه CVE-2026-92974 ثبت گردید.
جزئیات فنی آسیب‌پذیری
این نقص امنیتی در تمامی نسخه‌های این افزونه تا ورژن 1.8.46 وجود دارد و دلیل بروز آن، عدم پاک‌سازی کافی ورودی‌ها (Insufficient Input Sanitization) و عدم گریز از خروجی‌ها (Output Escaping) در پارامتر thumb_url است.
سناریوی حمله
عوامل تهدید (Threat Actors) می‌توانند بدون نیاز به احراز هویت (Unauthenticated)، اسکریپت‌های وب دلخواه خود را در صفحاتی که توسط این پارامتر پردازش می‌شوند، تزریق کنند. برای اجرای این حمله، مهاجم باید کاربر هدف را فریب دهد تا روی یک لینک مخرب کلیک کند یا اقدامی مشابه را انجام دهد.
تاثیرات احتمالی
- سرقت کوکی‌های نشست (Session Cookies) کاربران.
- تغییر محتوای صفحه در مرورگر کاربر (Defacement).
- هدایت کاربران به صفحات جعلی برای سرقت اطلاعات حساس.
