CVE-2026-87909
WysokieCVSS 7.5Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 43 - wyżej niż 43% wszystkich znanych CVE
Streszczenie
Wtyczka WP Photo Album Plus dla WordPressa (wszystkie wersje) pozwala na zdalne wykonanie kodu przez funkcję wppa_image_magick. Brak odpowiedniej sanityzacji nazwy pliku przesyłanego multipart przed konkatenacją do polecenia ImageMagick wykonywanego przez exec(), z jedynie escapeshellcmd() na całym poleceniu. Uwierzytelniony atakujący z poziomem subskrybenta może wykonać kod na serwerze.
Ocena ryzyka
Uwierzytelniony atakujący z niskimi uprawnieniami może wykonać dowolny kod na serwerze, co prowadzi do pełnego przejęcia systemu.
Rekomendacja
Wyłącz wtyczkę WP Photo Album Plus do czasu udostępnienia poprawki, ponieważ wszystkie wersje są podatne.
Inne podatności w WP Photo Album Plus
Zobacz wszystkie- CVE-2026-57675Wysokie
Wtyczka WP Photo Album Plus w wersji 9.2.02.004 i starszych zawiera podatność na nieuwierzytelniony atak Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt bez konieczności logowania.
- CVE-2026-10095Średnie
Wtyczka WP Photo Album Plus dla WordPressa zawiera podatność na trwałe ataki XSS przez parametr 'subtext' w wersjach do 9.1.13.005 włącznie. Brak odpowiedniej sanitacji wejścia i ucieczki wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów.
- CVE-2026-39511Krytyczne
W WP Photo Album Plus w wersjach do 9.1.08.001 występuje nieautoryzowana podatność na wstrzykiwanie SQL.
- CVE-2026-93774Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce WP Photo Album Plus w wersjach do 9.3.02.002.
- CVE-2026-18579Wysokie
Wtyczka WP Photo Album Plus dla WordPressa (wersje do 9.2.08.003 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'HTTP_X_FORWARDED_FOR' z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Ścieżka niepowodzenia nonce dla akcji getshortcodedrenderedfenodelay służy jako wyzwalacz zapisu do dziennika, co czyni exploit dostępnym dla nieuwierzytelnionych wywołujących.
- CVE-2026-18962Średnie
Wtyczka WP Photo Album Plus dla WordPressa przed wersją 9.2.09.002 nie sprawdza, czy bieżący użytkownik ma uprawnienia do przesyłania plików do albumu docelowego podczas przetwarzania przesyłania z frontendu. Pozwala to każdemu zalogowanemu użytkownikowi, np. subskrybentowi, na przesyłanie plików do albumów należących do innych użytkowników lub administratora. Wykorzystanie wymaga włączenia funkcji przesyłania z frontendu, co nie jest domyślne.
- CVE-2026-18049Wysokie
Wtyczka WP Photo Album Plus dla WordPressa przed wersją 9.2.07.002 nie wykonuje żadnej kontroli uprawnień ani nonce w jednej z akcji publicznego punktu końcowego i buduje nazwę opcji z wartości dostarczonej przez klienta bez ograniczania jej do własnych opcji, co pozwala nieuwierzytelnionym użytkownikom na odczyt wartości innych autoloadowanych opcji, których nazwy kończą się pasującym sufiksem.
- CVE-2026-18048Wysokie
Wtyczka WP Photo Album Plus przed wersją 9.2.07.002 nie weryfikuje wartości kontrolowanej przez klienta, używanej do budowy ścieżki pliku w jednej z publicznych akcji, oraz nie przeprowadza kontroli autoryzacji. Pozwala to nieuwierzytelnionym atakującym na usuwanie dowolnych archiwów ZIP na serwerze, w tym tych poza katalogiem głównym.
- CVE-2026-17013Średnie
Wtyczka WP Photo Album Plus przed wersją 9.2.07.002 nie sanityzuje i nie escapuje parametru przed odzwierciedleniem go w bloku skryptu inline, co pozwala nieuwierzytelnionym atakującym na przeprowadzanie ataków Reflected Cross-Site Scripting na osoby, które klikną spreparowany link do strony z galerią.
- CVE-2026-15344Średnie
Wtyczka WP Photo Album Plus dla WordPress do wersji 9.2.04.002 jest podatna na SQL Injection przez parametr 'table'. Niewystarczające escapowanie i przygotowanie zapytania umożliwia uwierzytelnionym atakującym z dostępem administratora dołączenie dodatkowych zapytań SQL. Brak nonce w endpointcie eksportu umożliwia również atak CSRF.
Oryginalny opis (angielski, źródło NVD)
The WP Photo Album Plus plugin for WordPress is vulnerable to Remote Code Execution in all versions via the wppa_image_magick function. This is due to insufficient sanitization of the multipart upload filename before concatenation into an ImageMagick command string executed via exec(), with only escapeshellcmd() applied to the whole command rather than quoting individual arguments. This makes it possible for authenticated attackers, with subscriber-level access and above, to execute code on the server. escapeshellcmd() escapes shell metacharacters but does not prevent argument injection because spaces remain as argument separators, and the filename sanitization applied at the database layer is never applied to the physical temporary file path used for ImageMagick processing.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS