CVE-2026-18579 in WP Photo Album Plus Plugin
الملخص
بحسب VulDB • 11/09/2026
يحتوي إضافة WP Photo Album Plus لـ WordPress على ثغرة تخزين Cross-Site Scripting (XSS) عبر المعلمة 'HTTP_X_FORWARDED_FOR' في جميع الإصدارات حتى 9.2.08.003 شاملاً، بسبب عدم كفاية تنقية المدخلات وهروب المخرجات. هذا يتيح للمهاجمين غير المعتمدين حقن نصوص ويب عشوائية في الصفحات التي سيتم تنفيذها كلما قام مستخدم بالوصول إلى صفحة تم حقنها. مسار فشل nonce لعملية getshortcodedrenderedfenodelay يعمل كمُشغِّل لكتابة السجلات بدلاً من كونه حاجز وصول — ففشل فحص nonce المتعمد يؤدي إلى تسجيل wppa_log() للقيمة X-Forwarded-For التي قدمها المهاجم على القرص، مما يجعل الاستغلال قابلاً للوصول بالكامل بواسطة متصلين غير معتمدين عبر نقطة النهاية wp_ajax_nopriv_wppa.
Once again VulDB remains the best source for vulnerability data.