CVE-2026-15384

Nome do Software Vulnerável e Versões Afetadas Manual Image Crop versões anteriores a 1.15

Descrição O plugin não realiza verificações de capacidade ou de nonce na ação AJAX autenticada utilizada para cortar imagens de anexo. Como a proteção atual permite qualquer usuário logado, um usuário com privilégios de assinante pode fornecer um ID de anexo arbitrário para sobrescrever a imagem de tamanho intermediário gerada, como uma miniatura, e alterar seus metadados armazenados, independentemente de quem seja o proprietário da mídia. Isso resulta em um problema de integridade entre usuários e desfiguração (defacement) na Biblioteca de Mídia. Além disso, a ausência de um nonce torna a ação suscetível a Cross-Site Request Forgery (CSRF), uma técnica onde um invasor engana a vítima para realizar ações que ela não pretendia fazer.

Recomendações Atualize para a versão 1.15 ou posterior.