CVE-2026-96661

Nome do Software Vulnerável e Versões Afetadas Gmedia Photo Gallery versões anteriores a 1.25.2

Descrição O plugin está sujeito a SQL Injection baseada em tempo, uma técnica na qual um invasor envia uma consulta que força o banco de dados a aguardar um tempo específico antes de responder, permitindo a inferência de dados. Isso ocorre devido à escape insuficiente de entradas fornecidas pelo usuário e falta de preparação na consulta SQL. Atacantes não autenticados podem anexar consultas SQL maliciosas para extrair informações sensíveis do banco de dados. O problema é acessível através do endpoint do aplicativo móvel não autenticado, que executa a ação da biblioteca sem validar a flag de recurso do aplicativo móvel, um nonce ou a autenticação do WordPress, não exigindo conta ou sessão para a exploração. O parâmetro vulnerável é gmedia in.

Recomendações Atualize o Gmedia Photo Gallery para a versão 1.25.2 ou posterior. Restrinja o acesso ao endpoint do aplicativo móvel para minimizar o risco de exploração.