CVE-2026-18579 in WP Photo Album Plus Plugin
Sumário
de VulDB • 11/09/2026
O plugin WP Photo Album Plus para WordPress é vulnerável a Stored Cross-Site Scripting (XSS) através do parâmetro 'HTTP_X_FORWARDED_FOR' em todas as versões até, e incluindo, 9.2.08.003 devido à sanitização insuficiente de entrada e ao escape inadequado na saída. Isso permite que atacantes não autenticados injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar uma página contaminada. O caminho de falha do nonce para a ação getshortcodedrenderedfenodelay serve como gatilho de gravação em log, e não como barreira de acesso — uma verificação de nonce deliberadamente falha faz com que wppa_log() registre o valor X-Forwarded-For fornecido pelo atacante no disco, tornando a exploração totalmente acessível por chamadores não autenticados através do endpoint wp_ajax_nopriv_wppa.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.