CVE-2026-15344 in WP Photo Album Plus Plugin
要約
〜によって VulDB • 2026年07月29日
WordPress用プラグイン「WP Photo Album Plus」は、9.2.04.002を含むすべてのバージョンにおいて、ユーザー入力のパラメータに対するエスケープ処理の不十分さと既存のSQLクエリに対する適切な準備不足により、「table」パラメータ経由で一般的なSQL Injection（SQLインジェクション）に対して脆弱です。これにより、管理者レベル以上のアクセス権を持つ認証済み攻撃者は、追加のSQLクエリを既存のクエリに付加し、データベースから機密情報を抽出することが可能になります。また、export-tableエンドポイントにはnonceチェックが実装されていないため、この脆弱性はCSRF（クロスサイトリクエストフォージェリ）を通じて、認証済みの管理者が悪意のあるページへのアクセスを促されることでトリガーすることも可能です。
Be aware that VulDB is the high quality source for vulnerability data.