CVE-2026-96278

Nome do Software Vulnerável e Versões Afetadas WP Photo Album Plus versões anteriores a 9.3.03.003

Descrição A sanitização insuficiente de entrada e a escape inadequada de saída permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS) via REQUEST URI Session History. Isso ocorre porque a função esc url raw() remove colchetes angulares literais, mas mantém entidades HTML, que são então convertidas de volta em tags HTML ativas pela função wppaEntityDecode() antes de serem renderizadas pelo método jQuery('#wppa-modal-container').html(). Isso possibilita a injeção de scripts web arbitrários que são executados sempre que um usuário acessa uma página afetada.

Recomendações Atualize o WP Photo Album Plus para uma versão posterior à 9.3.03.002.