CVE-2026-18049

WP Photo Album Plus WordPress plagininin 9.2.07.002 versiyasından əvvəlki versiyaları özünün ictimai son nöqtə (endpoint) hərəkətlərindən birində heç bir səlahiyyət və ya nonce yoxlaması aparmır və müştəri tərəfindən təmin edilən dəyərdən istifadə edərək seçimlər adını (option name), onu yalnız öz seçimləri ilə məhdudlaşdırmadan formalaşdırır. Bu, autentifikasiya olunmamış istifadəçilərə adları uyğun sonluqla bitən digər avtoyükləməli (autoloaded) seçimlərin dəyərlərini oxumağa imkan verir.