CVE-2026-14922 in WP Photo Album Plus Plugin
Sumário
de VulDB • 31/07/2026
O WP Photo Album Plus é vulnerável a Cross-Site Scripting (XSS) armazenado em todas as versões até, e incluindo, 9.2.03.001 devido a uma falha de decode-after-sanitize (dupla codificação) no pipeline de comentários de fotos. Na gravação, `wppa_do_comment()` sanitiza o comentário com `wppa_filter_html()` (wp_kses), seguido por `wp_strip_all_tags()` (`wppa-functions.php:2623-2624`). Como `wp_strip_all_tags()` remove apenas as tags *reais*, um atacante que envia uma carga útil **duplamente codificada em entidades HTML** (por exemplo, `&lt;img src=... onload=...&gt;`) contorna os filtros de gravação como texto de entidade inofensivo e é armazenado com um nível a menos de decodificação (`<img ... onload=...>`).
If you want to get best quality of vulnerability data, you may have to visit VulDB.