CVE-2026-6379
WysokieStreszczenie
Wtyczka WP Photo Album Plus dla WordPressa przed wersją 9.1.11.001 nieprawidłowo sanitizuje i ucieka parametr przed użyciem go w zapytaniu SQL, co pozwala nieautoryzowanym użytkownikom na przeprowadzenie ataków SQL injection.
Ocena ryzyka
Atakujący może wykorzystać tę podatność do uzyskania dostępu do bazy danych, co może prowadzić do kradzieży danych lub kompromitacji systemu.
Rekomendacja
Zaleca się aktualizację wtyczki do najnowszej wersji, aby usunąć tę podatność oraz przeprowadzenie audytu bezpieczeństwa aplikacji.
Inne podatności w WP Photo Album Plus WordPress plugin
Zobacz wszystkie- CVE-2026-17014Średnie
Wtyczka WP Photo Album Plus WordPress przed wersją 9.2.07.002 nie przeprowadza żadnej kontroli uprawnień ani nonce w jednej z publicznych akcji punktu końcowego REST, co pozwala nieuwierzytelnionym użytkownikom na usuwanie wygenerowanych archiwów ZIP eksportu albumów, które przechowuje.
- CVE-2026-14922Średnie
Wtyczka WP Photo Album Plus do wersji 9.2.03.001 jest podatna na trwałe Cross-Site Scripting (XSS) przez błąd podwójnego kodowania w mechanizmie komentarzy do zdjęć. Atakujący może przesłać podwójnie zakodowany HTML (np. <img src=... onload=...>), który przechodzi przez filtry i jest przechowywany jako encje, a następnie wykonuje się w przeglądarce ofiary.
Oryginalny opis (angielski, źródło NVD)
The WP Photo Album Plus WordPress plugin before 9.1.11.001 does not properly sanitize and escape a parameter before using it in a SQL query, allowing unauthenticated users to perform SQL injection attacks.