CVE-2026-2497

Nome do Software Vulnerável e Versões Afetadas Gallery by BestWebSoft versões anteriores a 4.8.0

Descrição Um problema de SQL Injection existe onde atacantes autenticados com nível de acesso de Editor ou superior podem extrair informações sensíveis do banco de dados. A função gllr save postdata() armazena chaves de array não sanitizadas do $ POST diretamente nos metadados do post, que são posteriormente utilizadas em consultas SQL sem statements preparados. Isso ocorre por meio das chaves de array do parâmetro gallery order {post id} devido à escape insuficiente de parâmetros fornecidos pelo usuário e à falta de preparação adequada da consulta SQL.

Recomendações Atualize para uma versão posterior à 4.7.9.