CVE-2026-76012

Nome do Software Vulnerável e Versões Afetadas NextGEN Gallery versões anteriores a 4.4.2

Descrição A Execução Remota de Código é possível através da função legacy render(). O problema decorre de uma falha de autorização no endpoint 'Lightroom gallery edit', combinada com a atribuição em massa do caminho da galeria e o upload irrestrito de arquivos em um diretório de modelos registrado. O sistema utiliza uma correspondência de substring para a verificação de extensões, que aceita incorretamente nomes de arquivos .php sanitizados como modelos válidos. Atacantes autenticados com nível de acesso customizado ou superior podem executar código no servidor, desde que sejam os autores registrados de pelo menos uma galeria existente, pois a propriedade da galeria é a única verificação de autorização para as etapas de atribuição em massa e upload.

Recomendações Atualize para a versão 4.4.2 ou posterior.