CVE-2026-18579 in WP Photo Album Plus Plugin
Zusammenfassung
von VulDB • 11.09.2026
Das WordPress-Plugin WP Photo Album Plus ist in allen Versionen bis einschließlich 9.2.08.003 aufgrund unzureichender Eingabebereinigung und Output-Escaping für eine Stored Cross-Site Scripting (XSS)-Schwachstelle über den Parameter 'HTTP_X_FORWARDED_FOR' anfällig. Dies ermöglicht es nicht authentifizierten Angreifern, beliebige Webskripte in Seiten einzufügen, die ausgeführt werden, sobald ein Benutzer auf eine infizierte Seite zugreift. Der Pfad für den Nonce-Fehler bei der Aktion getshortcodedrenderedfenodelay dient als Auslöser für das Schreiben von Protokolleinträgen anstelle einer Zugriffssperre – ein absichtlich fehlgeschlagener Nonce-Check bewirkt, dass wppa_log() den vom Angeschafften bereitgestellten X-Forwarded-for-Wert auf die Festplatte schreibt, wodurch der Exploit vollständig für nicht authentifizierte Aufrufer über den wp_ajax_nopriv_wppa-Endpunkt erreichbar ist.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.