10Web · The Photo Gallery · CVE-2021-24291
**Nome do software vulnerável e versões afetadas**
The Photo Gallery by 10Web – Plugin do WordPress para galeria de imagens otimizada para dispositivos móveis, versões anteriores à 1.5.69
**Descrição**
O problema diz respeito a falhas de Reflected Cross-Site Scripting (XSS). A vulnerabilidade pode ser explorada por meio dos parâmetros GET `gallery id`, `tag`, `album id` e ` id` passados para a ação AJAX “bwg frontend data”. Essa ação é acessível tanto para usuários não autenticados quanto para usuários autenticados.
**Recomendações**
Para versões anteriores à 1.5.69, atualize para a versão 1.5.69 ou posterior para resolver o problema. Como solução temporária, considere restringir o acesso à ação AJAX “bwg frontend data” para minimizar o risco de exploração. Evite usar os parâmetros `gallery id`, `tag`, `album id` e ` id` no endpoint AJAX afetado até que o problema seja resolvido.