CVE-2026-92115

WordPress için geliştirilen WP Photo Album Plus eklentisi, 9.3.02.002 sürümü dahil tüm önceki sürümlerde, `update-photo` AJAX işleminin `value` parametresi üzerinden kimlik doğrulaması yapılmış Komut Enjeksiyonuna karşı savunmasızdır. Bu durum, `wppa_image_magick_a()` fonksiyonundaki yetersiz kabuk kaçış işlemlerinden kaynaklanmaktadır; burada saldırgan tarafından kontrol edilen `value` parametresi, `escapeshellarg()` kullanılmadan doğrudan bir ImageMagick komut dizisine eklenmekte ve ardından `exec()` fonksiyonuna aktarılmaktadır. Ayrıca, `wppa_decode()` fonksiyonu yüzdeyle kodlanmış kabuk meta karakterlerini (örneğin, `%26`→`&`, `%23`→`#`) temizlemek yerine aktif olarak geri yükleyerek, özel olarak hazırlanmış payloadların temizleme aşamasından geçmesine ve ImageMagick argüman bağlamının dışına çıkmasına olanak tanımaktadır. Bu durum, eklenti tarafından tanımlanan `wppa_upload` yetkisine sahip kimliği doğrulanmış saldırganların, web sunucusu kullanıcısı olarak rastgele işletim sistemi komutları yürütmesini sağlayarak alttaki sunucu üzerinde tam uzaktan kod çalıştırma gerçekleştirmesini mümkün kılar. İstismarın gerçekleşmesi için sunucuda ImageMagick'in etkin olması gerekir; `wppa_upload` yetkisi, site yöneticilerinin eklentinin Kullanıcı ayarları aracılığıyla daha düşük yetkili WordPress rollerine verebileceği eklenti düzeyinde bir ayrıcalıktır ve bu da potansiyel saldırgan havuzunu yöneticilerin ötesine genişletmektedir.