CVE-2026-18579

Nome do Software Vulnerável e Versões Afetadas WP Photo Album Plus versões anteriores a 9.2.08.004

Descrição A sanitização de entrada e a escape de saída insuficientes permitem que atacantes não autenticados realizem Stored Cross-Site Scripting (XSS), uma técnica onde scripts maliciosos são armazenados permanentemente em um servidor alvo. O problema ocorre através do parâmetro HTTP X FORWARDED FOR. Um atacante pode acionar a função wppa log() ao falhar deliberadamente em uma verificação de nonce para a ação getshortcodedrenderedfenodelay, o que faz com que o valor fornecido pelo atacante seja gravado no disco. Este processo é acessível através do endpoint wp ajax nopriv wppa, permitindo a execução de scripts web arbitrários quando um usuário acessa uma página afetada.

Recomendações Atualize o WP Photo Album Plus para a versão 9.2.08.004 ou posterior.