CVE-2026-15344

Nome do Software Vulnerável e Versões Afetadas WP Photo Album Plus versões anteriores a 9.2.04.003

Descrição A escape insuficiente de parâmetros fornecidos pelo usuário e a falta de preparação adequada em consultas SQL permitem que atacantes autenticados com nível de acesso de administrador realizem SQL Injection. Ao manipular o parâmetro table, os atacantes podem anexar consultas adicionais para extrair informações sensíveis do banco de dados. Além disso, o endpoint 'export-table' carece de uma verificação de nonce, o que possibilita o Cross-Site Request Forgery (CSRF)—uma técnica onde um usuário é enganado para executar ações indesejadas em uma aplicação web—permitindo que o problema seja acionado ao induzir um administrador a visitar uma página maliciosa.

Recomendações Atualize para uma versão posterior à 9.2.04.002. Evite usar o parâmetro table no endpoint 'export-table' até que a atualização seja aplicada.