CVE-2026-18579
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 22 - wyżej niż 22% wszystkich znanych CVE
Streszczenie
Wtyczka WP Photo Album Plus dla WordPressa (wersje do 9.2.08.003 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'HTTP_X_FORWARDED_FOR' z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Ścieżka niepowodzenia nonce dla akcji getshortcodedrenderedfenodelay służy jako wyzwalacz zapisu do dziennika, co czyni exploit dostępnym dla nieuwierzytelnionych wywołujących.
Ocena ryzyka
Nieuwierzytelniony atakujący może wstrzyknąć złośliwe skrypty, które wykonają się u użytkowników odwiedzających zainfekowaną stronę, co może prowadzić do kradzieży danych lub przejęcia sesji.
Rekomendacja
Zaktualizuj wtyczkę do wersji nowszej niż 9.2.08.003 lub ją wyłącz, jeśli poprawka nie jest dostępna.
Inne podatności w WP Photo Album Plus
Zobacz wszystkie- CVE-2026-57675Wysokie
Wtyczka WP Photo Album Plus w wersji 9.2.02.004 i starszych zawiera podatność na nieuwierzytelniony atak Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt bez konieczności logowania.
- CVE-2026-10095Średnie
Wtyczka WP Photo Album Plus dla WordPressa zawiera podatność na trwałe ataki XSS przez parametr 'subtext' w wersjach do 9.1.13.005 włącznie. Brak odpowiedniej sanitacji wejścia i ucieczki wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów.
- CVE-2026-39511Krytyczne
W WP Photo Album Plus w wersjach do 9.1.08.001 występuje nieautoryzowana podatność na wstrzykiwanie SQL.
- CVE-2026-93774Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce WP Photo Album Plus w wersjach do 9.3.02.002.
- CVE-2026-87909Wysokie
Wtyczka WP Photo Album Plus dla WordPressa (wszystkie wersje) pozwala na zdalne wykonanie kodu przez funkcję wppa_image_magick. Brak odpowiedniej sanityzacji nazwy pliku przesyłanego multipart przed konkatenacją do polecenia ImageMagick wykonywanego przez exec(), z jedynie escapeshellcmd() na całym poleceniu. Uwierzytelniony atakujący z poziomem subskrybenta może wykonać kod na serwerze.
- CVE-2026-18962Średnie
Wtyczka WP Photo Album Plus dla WordPressa przed wersją 9.2.09.002 nie sprawdza, czy bieżący użytkownik ma uprawnienia do przesyłania plików do albumu docelowego podczas przetwarzania przesyłania z frontendu. Pozwala to każdemu zalogowanemu użytkownikowi, np. subskrybentowi, na przesyłanie plików do albumów należących do innych użytkowników lub administratora. Wykorzystanie wymaga włączenia funkcji przesyłania z frontendu, co nie jest domyślne.
- CVE-2026-18049Wysokie
Wtyczka WP Photo Album Plus dla WordPressa przed wersją 9.2.07.002 nie wykonuje żadnej kontroli uprawnień ani nonce w jednej z akcji publicznego punktu końcowego i buduje nazwę opcji z wartości dostarczonej przez klienta bez ograniczania jej do własnych opcji, co pozwala nieuwierzytelnionym użytkownikom na odczyt wartości innych autoloadowanych opcji, których nazwy kończą się pasującym sufiksem.
- CVE-2026-18048Wysokie
Wtyczka WP Photo Album Plus przed wersją 9.2.07.002 nie weryfikuje wartości kontrolowanej przez klienta, używanej do budowy ścieżki pliku w jednej z publicznych akcji, oraz nie przeprowadza kontroli autoryzacji. Pozwala to nieuwierzytelnionym atakującym na usuwanie dowolnych archiwów ZIP na serwerze, w tym tych poza katalogiem głównym.
- CVE-2026-17013Średnie
Wtyczka WP Photo Album Plus przed wersją 9.2.07.002 nie sanityzuje i nie escapuje parametru przed odzwierciedleniem go w bloku skryptu inline, co pozwala nieuwierzytelnionym atakującym na przeprowadzanie ataków Reflected Cross-Site Scripting na osoby, które klikną spreparowany link do strony z galerią.
- CVE-2026-15344Średnie
Wtyczka WP Photo Album Plus dla WordPress do wersji 9.2.04.002 jest podatna na SQL Injection przez parametr 'table'. Niewystarczające escapowanie i przygotowanie zapytania umożliwia uwierzytelnionym atakującym z dostępem administratora dołączenie dodatkowych zapytań SQL. Brak nonce w endpointcie eksportu umożliwia również atak CSRF.
Oryginalny opis (angielski, źródło NVD)
The WP Photo Album Plus plugin for WordPress is vulnerable to Stored Cross-Site Scripting via the 'HTTP_X_FORWARDED_FOR' parameter in all versions up to, and including, 9.2.08.003 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The nonce failure path for the getshortcodedrenderedfenodelay action serves as the log-write trigger rather than an access barrier — a deliberately failed nonce check causes wppa_log() to record the attacker-supplied X-Forwarded-For value to disk, making the exploit fully reachable by unauthenticated callers via the wp_ajax_nopriv_wppa endpoint.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS