CVE-2026-104079

Nome do Software Vulnerável e Versões Afetadas Envira Gallery Lite versões anteriores a 1.16.2

Descrição Uma falha de autorização existe no endpoint REST de conversão de galeria. O endpoint verifica se um usuário pode editar a postagem de origem, mas não verifica se ele possui as permissões necessárias para publicar uma galeria, ao mesmo tempo em que utiliza um status de publicação fixo (hard-coded). Isso permite que usuários autenticados com baixos privilégios, como aqueles com funções de Colaborador, criem e publiquem galerias. Além disso, invasores podem fornecer IDs de imagem arbitrários sem verificação de propriedade para publicar conteúdo não autorizado usando anexos que não têm permissão para usar. Mais de 100.000 instalações estão potencialmente afetadas.

Recomendações Atualizar para a versão 1.16.2.