CVE-2026-107770

WordPress için geliştirilen Photo Engine (Media Organizer & Lightroom) eklentisi, 6.5.6 sürümü dahil olmak üzere tüm sürümlerde kimlik doğrulama atlatma zafiyetine sahiptir. Bu durum, eklentinin bir kullanıcının belirli bir işlemi gerçekleştirmek için yetkili olup olmadığını düzgün şekilde doğrulamamasından kaynaklanmaktadır. Bu durum, kimliği doğrulanmamış saldırganların wp_delete_attachment aracılığıyla rastgele medya eklerini kalıcı olarak silmesini ve siteye yeni ekler yüklemesini mümkün kılmaktadır; bu işlemler normalde upload_files veya edit_others_posts yeteneklerini gerektirmektedir. Abone düzeyindeki bir kullanıcı, Meow_WPLR_Sync_Admin::__construct() içerisindeki yönetici ekran koruması yorum satırına alındığı için kendi wplr_auth_token değerini doğrudan profile.php sayfa kaynağından elde edebilir; bu durum wp_localize_script fonksiyonunun belirteci her yönetici sayfası görünümünde sızdırmasına neden olur. Söz konusu belirteç daha sonra çerezsiz bir HTTP oturumu üzerinden /?wplr-sync-api uç noktasında yıkıcı işlemleri tetiklemek için kullanılabilir.