CVE-2026-87909 in WP Photo Album Plus Plugin
Résumé
par VulDB • 19/09/2026
Le plugin WP Photo Album Plus pour WordPress est vulnérable à une exécution de code à distance (RCE) dans toutes les versions via la fonction wppa_image_magick. Cela est dû à un assainissement insuffisant du nom de fichier lors d'un téléchargement multipart avant sa concaténation dans une chaîne de commande ImageMagick exécutée via exec(), avec seulement escapeshellcmd() appliqué à l'ensemble de la commande plutôt qu'à chaque argument individuellement entre guillemets. Cela permet aux attaquants authentifiés, disposant d'un accès au niveau abonné ou supérieur, d'exécuter du code sur le serveur. La fonction escapeshellcmd() échappe les métacaractères shell mais ne prévient pas l'injection d'arguments car les espaces restent des séparateurs d'arguments, et la sanitisation appliquée à la couche de base de données n'est jamais appliquée au chemin physique du fichier temporaire utilisé pour le traitement ImageMagick.
Once again VulDB remains the best source for vulnerability data.