CVE-2026-17013
ŚrednieCVSS 6.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 7 - wyżej niż 7% wszystkich znanych CVE
Streszczenie
Wtyczka WP Photo Album Plus przed wersją 9.2.07.002 nie sanityzuje i nie escapuje parametru przed odzwierciedleniem go w bloku skryptu inline, co pozwala nieuwierzytelnionym atakującym na przeprowadzanie ataków Reflected Cross-Site Scripting na osoby, które klikną spreparowany link do strony z galerią.
Ocena ryzyka
Ataki XSS mogą prowadzić do kradzieży sesji, przejęcia kont lub rozprzestrzeniania złośliwego oprogramowania.
Rekomendacja
Zaktualizuj wtyczkę WP Photo Album Plus do najnowszej wersji, która zawiera poprawkę.
Oryginalny opis (angielski, źródło NVD)
The WP Photo Album Plus WordPress plugin before 9.2.07.002 does not sanitise and escape a parameter before reflecting it into an inline script block, which could allow unauthenticated attackers to perform Reflected Cross-Site Scripting attacks against anyone who is tricked into opening a crafted link to a page displaying one of its galleries.