CVE-2026-87909

Nome do Software Vulnerável e Versões Afetadas WP Photo Album Plus versões anteriores a 9.2.09.003

Descrição Usuários autenticados com nível de acesso de assinante ou superior podem realizar a Execução Remota de Código através da função wppa image magick(). O problema decorre da sanitização insuficiente do nome do arquivo de upload multipart antes de ser concatenado em uma string de comando ImageMagick executada via exec(). Embora o escapeshellcmd() seja aplicado a todo o comando, ele não impede a injeção de argumentos porque os espaços continuam servindo como separadores de argumentos, e a sanitização de nome de arquivo aplicada na camada de banco de dados não é aplicada ao caminho do arquivo temporário físico usado no processamento do ImageMagick.

Recomendações Atualize para uma versão posterior a 9.2.09.002. Como medida de mitigação temporária, restrinja o acesso à função wppa image magick() para usuários com permissões de assinante.