CVE-2026-105977 Falta de autorización en Portfolio Filter Gallery

Qué es CVE-2026-105977

El plugin Portfolio Filter Gallery no realiza una verificación de autorización por objeto antes de eliminar un adjunto, lo que permite a usuarios con rol Contributor o superior eliminar de forma permanente ciertos adjuntos multimedia de otros usuarios, incluidos administradores. Corregido antes de la 2.2.1.

Productos y versiones afectadas

• Portfolio Filter Gallery

  • desde 2.0.2 hasta antes de 2.2.1

Qué hacer

1. Verificá si usás Portfolio Filter Gallery y en qué versión: el rango afectado figura arriba.
2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 2.2 BAJA

CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:N/I:L/A:N

VECTOR DE ATAQUE (AV)

Red

COMPLEJIDAD DEL ATAQUE (AC)

Alta

PRIVILEGIOS REQUERIDOS (PR)

Altos

INTERACCIÓN DEL USUARIO (UI)

Ninguna

ALCANCE (S)

Sin cambio

CONFIDENCIALIDAD (C)

Ninguna

INTEGRIDAD (I)

Baja

DISPONIBILIDAD (A)

Ninguna

Abrir la calculadora completa →

Descripción original

The Portfolio Filter Gallery WordPress plugin before 2.2.1 does not perform a per-object authorization check before deleting an attachment, allowing users with the Contributor role and above to permanently delete certain media attachments belonging to other users, including administrators.

Referencias

• wpscan.com/vulnerability/6ad219b8-3633-4c54-a6cf-71cc0acf035e/EXPLOIT · VDB-ENTRY · TECHNICAL-DESCRIPTION

Historial de la alerta

1. 10 OCT · 03:35VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.