CVE-2026-14922

Nome do Software Vulnerável e Versões Afetadas WP Photo Album Plus versões anteriores a 9.2.03.001

Descrição Um problema de Cross-Site Scripting (XSS) armazenado existe devido a uma falha de decodificação após a sanitização no pipeline de comentários de fotos. A função wppa do comment() sanitiza os comentários usando wppa filter html() e wp strip all tags(). No entanto, como a função wp strip all tags() remove apenas tags reais, um invasor pode burlar esses filtros enviando um payload com codificação dupla de entidades HTML. Isso permite que o payload seja armazenado no banco de dados e posteriormente executado no navegador dos usuários que visualizarem o comentário.

Recomendações Atualize para uma versão posterior a 9.2.03.001.