CVE-2026-10095
ŚrednieCVSS 6.4Streszczenie
Wtyczka WP Photo Album Plus dla WordPressa zawiera podatność na trwałe ataki XSS przez parametr 'subtext' w wersjach do 9.1.13.005 włącznie. Brak odpowiedniej sanitacji wejścia i ucieczki wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów.
Ocena ryzyka
Ryzyko polega na tym, że atakujący z niskimi uprawnieniami (współautor) może osadzić złośliwy shortcode [photo] w poście przesłanym do recenzji, co spowoduje wykonanie skryptu podczas przeglądania strony przez administratora lub innego użytkownika, prowadząc do kradzieży sesji lub przejęcia konta.
Rekomendacja
Zaleca się natychmiastową aktualizację wtyczki WP Photo Album Plus do najnowszej wersji, która zawiera poprawki zabezpieczeń. Należy również ograniczyć uprawnienia użytkowników i regularnie przeglądać treści publikowane przez współautorów.
Inne podatności w WP Photo Album Plus
Zobacz wszystkie- CVE-2026-57675Wysokie
Wtyczka WP Photo Album Plus w wersji 9.2.02.004 i starszych zawiera podatność na nieuwierzytelniony atak Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt bez konieczności logowania.
- CVE-2026-39511Krytyczne
W WP Photo Album Plus w wersjach do 9.1.08.001 występuje nieautoryzowana podatność na wstrzykiwanie SQL.
- CVE-2026-18962Średnie
Wtyczka WP Photo Album Plus dla WordPressa przed wersją 9.2.09.002 nie sprawdza, czy bieżący użytkownik ma uprawnienia do przesyłania plików do albumu docelowego podczas przetwarzania przesyłania z frontendu. Pozwala to każdemu zalogowanemu użytkownikowi, np. subskrybentowi, na przesyłanie plików do albumów należących do innych użytkowników lub administratora. Wykorzystanie wymaga włączenia funkcji przesyłania z frontendu, co nie jest domyślne.
- CVE-2026-18049Wysokie
Wtyczka WP Photo Album Plus dla WordPressa przed wersją 9.2.07.002 nie wykonuje żadnej kontroli uprawnień ani nonce w jednej z akcji publicznego punktu końcowego i buduje nazwę opcji z wartości dostarczonej przez klienta bez ograniczania jej do własnych opcji, co pozwala nieuwierzytelnionym użytkownikom na odczyt wartości innych autoloadowanych opcji, których nazwy kończą się pasującym sufiksem.
- CVE-2026-18048Wysokie
Wtyczka WP Photo Album Plus przed wersją 9.2.07.002 nie weryfikuje wartości kontrolowanej przez klienta, używanej do budowy ścieżki pliku w jednej z publicznych akcji, oraz nie przeprowadza kontroli autoryzacji. Pozwala to nieuwierzytelnionym atakującym na usuwanie dowolnych archiwów ZIP na serwerze, w tym tych poza katalogiem głównym.
- CVE-2026-17013Średnie
Wtyczka WP Photo Album Plus przed wersją 9.2.07.002 nie sanityzuje i nie escapuje parametru przed odzwierciedleniem go w bloku skryptu inline, co pozwala nieuwierzytelnionym atakującym na przeprowadzanie ataków Reflected Cross-Site Scripting na osoby, które klikną spreparowany link do strony z galerią.
- CVE-2026-15344Średnie
Wtyczka WP Photo Album Plus dla WordPress do wersji 9.2.04.002 jest podatna na SQL Injection przez parametr 'table'. Niewystarczające escapowanie i przygotowanie zapytania umożliwia uwierzytelnionym atakującym z dostępem administratora dołączenie dodatkowych zapytań SQL. Brak nonce w endpointcie eksportu umożliwia również atak CSRF.
Oryginalny opis (angielski, źródło NVD)
The WP Photo Album Plus plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'subtext' parameter in all versions up to, and including, 9.1.13.005 due to insufficient input sanitization and output escaping. This makes it possible for authenticated attackers, with contributor-level access and above, to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. A contributor-level attacker can embed the malicious [photo] shortcode in a post submitted for review, causing the stored payload to execute when an administrator or any other user views the post.