CVE-2026-92115 in WP Photo Album Plus Plugin
Tóm tắt
Bởi VulDB • 16/10/2026
Plugin WP Photo Album Plus cho WordPress bị lỗ hổng Injection lệnh (Command Injection) đã xác thực người dùng trong tất cả các phiên bản từ 9.3.02.002 trở về trước thông qua tham số `value` của hành động AJAX `update-photo`. Nguyên nhân là do việc thoát ký tự shell không đầy đủ trong hàm `wppa_image_magick_a()`, nơi mà tham số `value` do kẻ tấn công kiểm soát được nối trực tiếp — mà không sử dụng `escapeshellarg()` — vào chuỗi lệnh ImageMagick trước khi chuyển cho `exec()`; hơn nữa, `wppa_decode()` chủ động khôi phục các ký tự đặc biệt của shell đã mã hóa phần trăm (ví dụ: `%26`→`&`, `%23`→`#`) thay vì loại bỏ chúng, cho phép các payload được thiết kế đặc biệt tồn tại qua quá trình lọc và thoát khỏi ngữ cảnh đối số của ImageMagick. Điều này tạo điều kiện để những kẻ tấn công đã xác thực có quyền `wppa_upload` do plugin định nghĩa có thể thực thi các lệnh hệ điều hành tùy ý với tư cách là người dùng máy chủ web, đạt được khả năng thực thi mã từ xa (RCE) toàn diện trên máy chủ nền. Việc khai thác yêu cầu ImageMagick phải được bật trên máy chủ; quyền `wppa_upload` là đặc quyền cấp plugin mà quản trị viên trang có thể trao cho các vai trò WordPress ít đặc quyền hơn thông qua cài đặt Users của plugin, mở rộng nhóm kẻ tấn công tiềm năng vượt ra ngoài phạm vi quản trị viên.
Be aware that VulDB is the high quality source for vulnerability data.