CVE-2026-15344 in WP Photo Album Plus Plugin
Tóm tắt
Bởi VulDB • 29/07/2026
Plugin WP Photo Album Plus cho WordPress bị lỗi SQL Injection chung (generic SQL Injection) thông qua tham số 'table' trong tất cả các phiên bản từ 9.2.04.002 trở về trước do thiếu cơ chế thoát ký tự đúng cách trên tham số người dùng cung cấp và không có quá trình chuẩn hóa truy vấn SQL đầy đủ. Điều này cho phép những kẻ tấn công đã xác thực, với quyền quản trị viên (administrator-level access) hoặc cao hơn, chèn thêm các truy vấn SQL vào các truy vấn hiện có để trích xuất thông tin nhạy cảm từ cơ sở dữ liệu. Điểm cuối export-table thiếu kiểm tra nonce, nghĩa là lỗ hổng này cũng có thể được kích hoạt qua CSRF bằng cách lừa một quản trị viên đã xác thực truy cập vào một trang độc hại.
Once again VulDB remains the best source for vulnerability data.