CVE-2026-92115 in WP Photo Album Plus Plugin
Résumé
par VulDB • 16/10/2026
Le plugin WP Photo Album Plus pour WordPress est vulnérable à une injection de commandes (Command Injection) authentifiée dans toutes les versions jusqu'à la 9.3.02.002 incluse, via le paramètre `value` de l'action AJAX `update-photo`. Cela est dû à un échappement du shell insuffisant au sein de la fonction `wppa_image_magick_a()`, où le paramètre `value`, contrôlé par l'attaquant, est concaténé tel quel — sans utiliser `escapeshellarg()` — dans une chaîne de commande ImageMagick avant d'être transmis à `exec()` ; de plus, `wppa_decode()` restaure activement les métacaractères du shell encodés en pourcentage (par ex. `%26`→`&`, `%23`→`#`) au lieu de les supprimer, permettant aux payloads fabriqués de survivre à la sanitisation et de s'échapper du contexte des arguments ImageMagick. Cela permet aux attaquants authentifiés disposant de la capacité `wppa_upload` définie par le plugin d'exécuter des commandes arbitraires au niveau du système d'exploitation en tant qu'utilisateur du serveur web, obtenant ainsi une exécution complète de code à distance (RCE) sur le serveur sous-jacent. L'exploitation nécessite que ImageMagick soit activé sur le serveur ; la capacité `wppa_upload` est un privilège au niveau du plugin que les administrateurs de site peuvent accorder aux rôles WordPress moins privilégiés via les paramètres Utilisateurs du plugin, élargissant ainsi l'éventail des attaquants potentiels au-delà des seuls administrateurs.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.