CVE-2026-92115

WordPress üçün WP Photo Album Plus plagini 9.3.02.002 versiyası daxil olmaqla bütün versiyalarda `update-photo` AJAX hərəkətinin `value` parametri vasitəsilə autentifikasiya olunmuş Command Injection zəifliyinə malikdir. Bu, `wppa_image_magick_a()` funksiyasında kifayət qədər shell escaping tətbiq edilməməsi ilə bağlıdır; burada hücum edən tərəfindən idarə olunan `value` parametri `escapeshellarg()` olmadan birbaşa ImageMagick əmr sətrinə əlavə edilir və sonra `exec()` funksiyasına ötürülür. Bundan əlavə, `wppa_decode()` funksiyası faizlə kodlaşdırılmış shell meta simvollarını (məsələn, `%26`→`&`, `%23`→`#`) silmək əvəzinə onları bərpa edir ki, bu da xüsusi hazırlanmış payload-ların təmizləmə prosesindən sağ çıxmasına və ImageMagick arqument kontekstindən kənara çıxmasına şərait yaradır. Bu, plagində təyin edilmiş `wppa_upload` səlahiyyətinə malik autentifikasiya olunmuş hücumçulara veb-server istifadəçisi kimi ixtiyari əməliyyat sistemi əmrlərini icra etməyə və nəticədə alt serverdə tam uzaqdan kodun icrasını (RCE) həyata keçirməyə imkan verir. Eksploytasiya üçün serverdə ImageMagick-in aktiv olması tələb olunur; `wppa_upload` səlahiyyəti plagin səviyyəli imtiyazdır və sayt administratorları bunu plagin sahəsindəki İstifadəçi parametrləri vasitəsilə daha aşağı imtiyazlı WordPress rollarına verə bilərlər ki, bu da potensial hücumçuların dairəsini administratorlardan daha geniş edir.