CVE-2026-18048

Podatność Cross Site Scripting (XSS) z uprawnieniami subskrybenta w wtyczce WP Photo Album Plus w wersjach do 9.3.02.003. Umożliwia atakującemu wstrzyknięcie złośliwego skryptu do strony.

Wtyczka WP Photo Album Plus w wersji 9.2.02.004 i starszych zawiera podatność na nieuwierzytelniony atak Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt bez konieczności logowania.

Wtyczka WP Photo Album Plus dla WordPressa zawiera podatność na trwałe ataki XSS przez parametr 'subtext' w wersjach do 9.1.13.005 włącznie. Brak odpowiedniej sanitacji wejścia i ucieczki wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów.

W WP Photo Album Plus w wersjach do 9.1.08.001 występuje nieautoryzowana podatność na wstrzykiwanie SQL.

Wtyczka WP Photo Album Plus dla WordPressa jest podatna na przechowywany atak XSS przez historię sesji REQUEST_URI w wersjach do 9.3.03.002 włącznie z powodu niewystarczającej sanityzacji i eskejpowania danych. Niezalogowani atakujący mogą wstrzykiwać skrypty, które wykonają się przy dostępie do zainfekowanej strony, wykorzystując obejście polegające na konwersji encji HTML na żywe tagi.

Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce WP Photo Album Plus w wersjach do 9.3.02.002.

Wtyczka WP Photo Album Plus dla WordPressa (wszystkie wersje) pozwala na zdalne wykonanie kodu przez funkcję wppa_image_magick. Brak odpowiedniej sanityzacji nazwy pliku przesyłanego multipart przed konkatenacją do polecenia ImageMagick wykonywanego przez exec(), z jedynie escapeshellcmd() na całym poleceniu. Uwierzytelniony atakujący z poziomem subskrybenta może wykonać kod na serwerze.

Wtyczka WP Photo Album Plus dla WordPressa (wersje do 9.2.08.003 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'HTTP_X_FORWARDED_FOR' z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Ścieżka niepowodzenia nonce dla akcji getshortcodedrenderedfenodelay służy jako wyzwalacz zapisu do dziennika, co czyni exploit dostępnym dla nieuwierzytelnionych wywołujących.

Wtyczka WP Photo Album Plus dla WordPressa przed wersją 9.2.09.002 nie sprawdza, czy bieżący użytkownik ma uprawnienia do przesyłania plików do albumu docelowego podczas przetwarzania przesyłania z frontendu. Pozwala to każdemu zalogowanemu użytkownikowi, np. subskrybentowi, na przesyłanie plików do albumów należących do innych użytkowników lub administratora. Wykorzystanie wymaga włączenia funkcji przesyłania z frontendu, co nie jest domyślne.

Wtyczka WP Photo Album Plus dla WordPressa przed wersją 9.2.07.002 nie wykonuje żadnej kontroli uprawnień ani nonce w jednej z akcji publicznego punktu końcowego i buduje nazwę opcji z wartości dostarczonej przez klienta bez ograniczania jej do własnych opcji, co pozwala nieuwierzytelnionym użytkownikom na odczyt wartości innych autoloadowanych opcji, których nazwy kończą się pasującym sufiksem.