CVE-2026-107770

WordPress üçün olan Photo Engine (Media Organizer & Lightroom) plagini 6.5.6 daxil olmaqla bütün versiyalarda autentifikasiyadan yan keçmə zəifliyinə malikdir. Bu, plagiinin istifadəçinin hər hansı bir hərəkəti yerinə yetirmək üçün səlahiyyətli olduğunu düzgün şəkildə yoxlamamasından qaynaqlanır. Bu, autentifikasiya olunmamış hücumçulara `upload_files` və ya `edit_others_posts` imkanları tələb edən hərəkətləri yerinə yetirərək, `wp_delete_attachment` vasitəsilə ixtiyari media qoşmalarını daimi olaraq silməyə və sayta yeni qoşmalar yükləməyə imkan verir. Abunəçi (Subscriber) səviyyəli istifadəçi öz `wplr_auth_token`-ni birbaşa `profile.php` səhifəsinin mənbə kodundan əldə edə bilər, çünki `Meow_WPLR_Sync_Admin::__construct()` funksiyasındakı admin ekran mühafizəsi şərhə alınıb və bu, `wp_localize_script`-in tokeni hər bir admin səhifəsi görünüşündə sızdırmasına səbəb olur; daha sonra bu token kuki-siz HTTP sessiyasından istifadə edilərək `/?wplr-sync-api` son nöqtəsində dağıdıcı hərəkətləri çağırmaq üçün istifadə edilə bilər.