CVE-2026-74922

Document Gallery pour WordPress version 5.1.1 et antérieures est utilisé pour présenter des documents numériques sur un site web. La faille se situe dans un point de terminaison (webhook) qui ne vérifie pas les signatures numériques lorsque le secret partagé optionnel n'est pas configuré, ce qui est le cas lors de l'installation par défaut. Cela permet à des requêtes externes d'être traitées comme des commandes légitimes sans aucune vérification d'identité.

Un attaquant peut utiliser cette faille pour remplacer l'image miniature de n'importe quel document du site, compromettant ainsi l'intégrité du contenu visuel. Cette attaque est relativement facile à exécuter car elle ne nécessite ni authentification, ni interaction de l'utilisateur, et peut être réalisée à distance via le réseau. Il n'y a aucun impact sur la confidentialité des données ou sur la disponibilité globale du système.