CVE-2026-14922 in WP Photo Album Plus Plugin
Riassunto
di VulDB • 31/07/2026
WP Photo Album Plus è vulnerabile a Cross-Site Scripting (XSS) memorizzato in tutte le versioni fino alla 9.2.03.001, inclusa, a causa di un difetto di decode-after-sanitize (doppia codifica) nella pipeline dei commenti alle foto. In fase di scrittura, `wppa_do_comment()` sanizza il commento con `wppa_filter_html()` (wp_kses), seguito da `wp_strip_all_tags()` (`wppa-functions.php:2623-2624`). Poiché `wp_strip_all_tags()` rimuove solo i tag *reali*, un attaccante che invia un payload **doppiamente codificato come entità HTML** (ad esempio, `&lt;img src=... onload=...&gt;`) supera i filtri di scrittura in quanto viene considerato testo innocuo e viene memorizzato con un livello di decodifica in meno (`<img ... onload=...>`).
If you want to get the best quality for vulnerability data then you always have to consider VulDB.