CVE-2026-96278
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 16 - wyżej niż 16% wszystkich znanych CVE
Streszczenie
Wtyczka WP Photo Album Plus dla WordPressa jest podatna na przechowywany atak XSS przez historię sesji REQUEST_URI w wersjach do 9.3.03.002 włącznie z powodu niewystarczającej sanityzacji i eskejpowania danych. Niezalogowani atakujący mogą wstrzykiwać skrypty, które wykonają się przy dostępie do zainfekowanej strony, wykorzystując obejście polegające na konwersji encji HTML na żywe tagi.
Ocena ryzyka
Atak może prowadzić do kradzieży danych użytkowników, przejęcia sesji lub rozprzestrzeniania złośliwego oprogramowania w kontekście przeglądarki ofiary.
Rekomendacja
Zaktualizuj wtyczkę do najnowszej wersji z poprawką. Dodatkowo rozważ dodanie dodatkowych zabezpieczeń, takich jak Content Security Policy (CSP).
Inne podatności w WP Photo Album Plus
Zobacz wszystkie- CVE-2026-102386Średnie
Podatność Cross Site Scripting (XSS) z uprawnieniami subskrybenta w wtyczce WP Photo Album Plus w wersjach do 9.3.02.003. Umożliwia atakującemu wstrzyknięcie złośliwego skryptu do strony.
- CVE-2026-57675Wysokie
Wtyczka WP Photo Album Plus w wersji 9.2.02.004 i starszych zawiera podatność na nieuwierzytelniony atak Cross Site Scripting (XSS). Atakujący może wstrzyknąć złośliwy skrypt bez konieczności logowania.
- CVE-2026-10095Średnie
Wtyczka WP Photo Album Plus dla WordPressa zawiera podatność na trwałe ataki XSS przez parametr 'subtext' w wersjach do 9.1.13.005 włącznie. Brak odpowiedniej sanitacji wejścia i ucieczki wyjścia umożliwia uwierzytelnionym atakującym z dostępem na poziomie współautora i wyższym wstrzyknięcie dowolnych skryptów.
- CVE-2026-39511Krytyczne
W WP Photo Album Plus w wersjach do 9.1.08.001 występuje nieautoryzowana podatność na wstrzykiwanie SQL.
- CVE-2026-93774Wysokie
Nieuwierzytelniony atak typu Cross Site Scripting (XSS) w wtyczce WP Photo Album Plus w wersjach do 9.3.02.002.
- CVE-2026-87909Wysokie
Wtyczka WP Photo Album Plus dla WordPressa (wszystkie wersje) pozwala na zdalne wykonanie kodu przez funkcję wppa_image_magick. Brak odpowiedniej sanityzacji nazwy pliku przesyłanego multipart przed konkatenacją do polecenia ImageMagick wykonywanego przez exec(), z jedynie escapeshellcmd() na całym poleceniu. Uwierzytelniony atakujący z poziomem subskrybenta może wykonać kod na serwerze.
- CVE-2026-18579Wysokie
Wtyczka WP Photo Album Plus dla WordPressa (wersje do 9.2.08.003 włącznie) jest podatna na trwałe skrypty krzyżowe (Stored XSS) poprzez parametr 'HTTP_X_FORWARDED_FOR' z powodu niewystarczającej sanityzacji danych wejściowych i ucieczki danych wyjściowych. Ścieżka niepowodzenia nonce dla akcji getshortcodedrenderedfenodelay służy jako wyzwalacz zapisu do dziennika, co czyni exploit dostępnym dla nieuwierzytelnionych wywołujących.
- CVE-2026-18962Średnie
Wtyczka WP Photo Album Plus dla WordPressa przed wersją 9.2.09.002 nie sprawdza, czy bieżący użytkownik ma uprawnienia do przesyłania plików do albumu docelowego podczas przetwarzania przesyłania z frontendu. Pozwala to każdemu zalogowanemu użytkownikowi, np. subskrybentowi, na przesyłanie plików do albumów należących do innych użytkowników lub administratora. Wykorzystanie wymaga włączenia funkcji przesyłania z frontendu, co nie jest domyślne.
- CVE-2026-18049Wysokie
Wtyczka WP Photo Album Plus dla WordPressa przed wersją 9.2.07.002 nie wykonuje żadnej kontroli uprawnień ani nonce w jednej z akcji publicznego punktu końcowego i buduje nazwę opcji z wartości dostarczonej przez klienta bez ograniczania jej do własnych opcji, co pozwala nieuwierzytelnionym użytkownikom na odczyt wartości innych autoloadowanych opcji, których nazwy kończą się pasującym sufiksem.
- CVE-2026-18048Wysokie
Wtyczka WP Photo Album Plus przed wersją 9.2.07.002 nie weryfikuje wartości kontrolowanej przez klienta, używanej do budowy ścieżki pliku w jednej z publicznych akcji, oraz nie przeprowadza kontroli autoryzacji. Pozwala to nieuwierzytelnionym atakującym na usuwanie dowolnych archiwów ZIP na serwerze, w tym tych poza katalogiem głównym.
Oryginalny opis (angielski, źródło NVD)
The WP Photo Album Plus plugin for WordPress is vulnerable to Stored Cross-Site Scripting via REQUEST_URI Session History in all versions up to, and including, 9.3.03.002 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The bypass works because esc_url_raw() strips literal angle brackets but retains HTML entities, which wppaEntityDecode() silently converts back to live HTML tags before jQuery('#wppa-modal-container').html() renders them.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS