Saltar al contenido
DUPIN
ALERTAS · EN VIVO
Contacto

VULNERABILIDAD

CVE-2026-92115 Inyección de comandos en WP Photo Album Plus mediante el parámetro value de update-photo

El plugin WP Photo Album Plus para WordPress es vulnerable a inyección de comandos autenticada en todas las versiones hasta la 9.3.02.002 inclusive, a través del parámetro 'value' de la acción AJAX 'update-photo'. El escape de shell insuficiente en la función wppa_image_magick_a() concatena el valor sin escapeshellarg() en un comando de ImageMagick pasado a exec(), y wppa_decode() restaura metacaracteres codificados. Atacantes autenticados con la capacidad wppa_upload pueden ejecutar comandos arbitrarios del…

Alerta de Nureq Monitor

Detectada 16 OCT · 06:02

CVSS 3.1

8.8ALTA

PROBABILIDAD DE EXPLOTACIÓN (EPSS)

1,5 % PERCENTIL 74

EXPLOTACIÓN ACTIVA

No confirmada

EXPLOIT PÚBLICO

No conocido

Qué es CVE-2026-92115

El plugin WP Photo Album Plus para WordPress es vulnerable a inyección de comandos autenticada en todas las versiones hasta la 9.3.02.002 inclusive, a través del parámetro 'value' de la acción AJAX 'update-photo'. El escape de shell insuficiente en la función wppa_image_magick_a() concatena el valor sin escapeshellarg() en un comando de ImageMagick pasado a exec(), y wppa_decode() restaura metacaracteres codificados. Atacantes autenticados con la capacidad wppa_upload pueden ejecutar comandos arbitrarios del…

Productos y versiones afectadas

  • opajaap WP Photo Album Plus

    • hasta 9.3.02.002

Qué hacer

  1. Verificá si usás WP Photo Album Plus y en qué versión: el rango afectado figura arriba.
  2. Actualizá a la versión corregida que indique el fabricante en su aviso (ver referencias) o aplicá la mitigación que publique.
  3. Revisá registros y accesos de los sistemas expuestos para descartar que se haya aprovechado antes de corregir.

Calculadora CVSS

CVSS 3.1 · 8.8 ALTA

CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

VECTOR DE ATAQUE (AV)
Red
COMPLEJIDAD DEL ATAQUE (AC)
Baja
PRIVILEGIOS REQUERIDOS (PR)
Bajos
INTERACCIÓN DEL USUARIO (UI)
Ninguna
ALCANCE (S)
Sin cambio
CONFIDENCIALIDAD (C)
Alta
INTEGRIDAD (I)
Alta
DISPONIBILIDAD (A)
Alta

Abrir la calculadora completa

Descripción original

The WP Photo Album Plus plugin for WordPress is vulnerable to authenticated Command Injection in all versions up to, and including, 9.3.02.002 via the `value` parameter of the `update-photo` AJAX action. This is due to insufficient shell escaping within the `wppa_image_magick_a()` function, where the attacker-controlled `value` parameter is concatenated raw — without `escapeshellarg()` — into an ImageMagick command string before being passed to `exec()`; further, `wppa_decode()` actively restores percent-encoded shell metacharacters (e.g., `%26`→`&`, `%23`→`#`) rather than stripping them, allowing crafted payloads to survive sanitization and break out of the ImageMagick argument context. This makes it possible for authenticated attackers holding the plugin-defined `wppa_upload` capability to execute arbitrary operating-system commands as the web-server user, achieving full remote code execution on the underlying server. Exploitation requires ImageMagick to be enabled on the server; the `wppa_upload` capability is a plugin-level privilege that site administrators may grant to lower-privileged WordPress roles via the plugin's Users settings, broadening the pool of potential attackers beyond administrators.

Referencias

Historial de la alerta

  1. VULNERABILIDAD Nueva vulnerabilidad detectada.

CÓMO SE HIZOResumen traducido automáticamente al español a partir de la descripción original. Ante dudas, la descripción original y las referencias del fabricante son la fuente de verdad. Cómo funciona.