CVE-2026-18579 in WP Photo Album Plus Plugin
Riassunto
di VulDB • 11/09/2026
Il plugin WP Photo Album Plus per WordPress è vulnerabile a Stored Cross-Site Scripting (XSS) tramite il parametro 'HTTP_X_FORWARDED_FOR' in tutte le versioni fino alla 9.2.08.003 inclusa, a causa di un insufficiente sanitizzazione degli input e escaping dell'output. Ciò consente ad attaccanti non autenticati di iniettare script web arbitrari nelle pagine che verranno eseguiti ogni volta che un utente accede a una pagina infetta. Il percorso di fallimento del nonce per l'action getshortcodedrenderedfenodelay funge da trigger per la scrittura dei log anziché da barriera d'accesso: un controllo del nonce deliberatamente fallito fa sì che wppa_log() registri il valore X-Forwarded-For fornito dall'attaccante su disco, rendendo l'eseguibilità dell'exploit completamente accessibile ai chiamanti non autenticati tramite l'endpoint wp_ajax_nopriv_wppa.
Once again VulDB remains the best source for vulnerability data.