CVE-2026-1291: Fejl i Meow Gallery til WordPress

CVE-2026-1291 er en autorisationsfejl i WordPress-pluginet Meow Gallery. Fejlen sidder i endepunktet /wp-json/meow-gallery/v1/save_shortcode, som er en del af pluginets REST API, altså den kanal, hvor browseren eller andre systemer sender kommandoer til WordPress-serveren. Endepunktet gemmer eller opdaterer gallerier ud fra et id, men tjekker ikke, om den bruger, der sender kaldet, faktisk ejer eller har ret til at redigere det pågældende galleri. Fejltypen kaldes CWE-639: manglende autorisation ved bruger-styret id. I praksis betyder det, at en bruger kan angive et id, som ikke er deres eget, og alligevel få lov til at overskrive eller oprette galleri-data.

Sårbarheden rammer alle WordPress-installationer, der kører Meow Gallery i version 5.4.4 eller ældre. Det kræver, at siden har mindst én bruger med rollen Forfatter (Author) eller højere, for eksempel Redaktør eller Administrator, som enten er kompromitteret eller ondsindet. Rene besøgende uden login kan ikke udnytte fejlen.

En logget ind bruger med forfatter-rettigheder kan oprette eller overskrive gallerier, som andre brugere ejer, ved at gætte eller finde et id. Det kan bruges til at manipulere indhold på hjemmesiden, for eksempel ved at ombytte billeder i et galleri eller ødelægge en eksisterende opsætning, som en redaktør har brugt tid på at bygge. Fejlen giver ikke adgang til at læse data eller tage siden ned, og den giver ikke i sig selv fuld kodeudførelse, men den underminerer tilliden til, hvem der reelt styrer indholdet på siden.

CVSS-scoren er 4,3 ud af 10, hvilket NVD sætter til moderat risiko. Angrebet kræver login med mindst forfatter-rettigheder (PR:L), men ingen handling fra offeret (UI:N), og det kan udføres over internettet med lav kompleksitet. Konsekvensen er begrænset til, at data kan ændres (integritet: lav), mens fortrolighed og tilgængelighed ikke påvirkes. Der er ingen oplysninger om, at sårbarheden aktivt udnyttes i angreb pr. offentliggørelsesdatoen.

Det vigtigste er at få lukket adgangen til det sårbare endepunkt.

1. Opdatér Meow Gallery til den nyeste version, hvor pluginudvikleren har rettet manglen på rettighedstjek. Tjek pluginets ændringslog i WordPress-administrationen for den konkrete fixversion.
2. Gennemgå listen over brugere med rollen Forfatter eller højere, og fjern konti, I ikke kan stå inde for, eller som ikke længere er aktive.
3. Kontrollér jeres eksisterende gallerier for uventede ændringer, hvis I ikke har opdateret for nylig, og gendan fra backup ved mistanke om manipulation.
4. Overvej at begrænse antallet af brugere med forfatter-rettigheder eller derover, og brug to-faktor login på disse konti.
5. Kan I ikke opdatere pluginet med det samme, så deaktivér Meow Gallery midlertidigt, indtil opdateringen er testet og installeret.
6. Hvis I er i tvivl om, om jeres galleri-data er blevet ændret af andre end jer selv, eller I mangler ressourcer til at gennemgå brugerkonti og logs, bør I hente ekstern hjælp til en gennemgang.