Injection de commandes dans WP Photo Album Plus

Veille sécuritéCMS & e-commerce

P3Élevée

WP Photo Album Plus est vulnérable à une injection de commandes via le paramètre `value` de l’action AJAX `update-photo`. Les versions jusqu’à 9.3.02.002 inclus sont concernées; un utilisateur doté de la capacité `wppa_upload` peut obtenir l’exécution de commandes sur le serveur lorsque ImageMagick est activé.

IdentifiantCVE-2026-92115

GravitéÉlevée

Exploitationnon connue / non déterminée

CorrectifNon précisé dans les sources

Source : NVD — CVE-2026-92115

Analyse technique

La valeur contrôlée par l’attaquant est intégrée à une commande ImageMagick transmise à `exec()` sans échappement shell suffisant. Le décodage du plugin restaure des métacaractères encodés; l’élévation d’accès dépend de la capacité `wppa_upload`, que les administrateurs peuvent attribuer à des rôles moins privilégiés.

Impact, versions et correctif

Événement datéLa fiche indique une première publication NVD le 2026-10-16 à 07:17:13.907Z, dans la période demandée; l’item est retenu sur cette date de publication, et non sur la seule date de mise à jour.

ImpactExécution possible de commandes système sous l’identité du serveur web.

Versions affectéesToutes les versions jusqu’à 9.3.02.002 inclus

ContournementDésactiver ImageMagick pour ce plugin ou retirer la capacité `wppa_upload` aux rôles qui n’en ont pas besoin, en attendant un correctif.

Exploitation activenon connue / non déterminée

PoC publicinconnu

CVSS8.8

EPSS1,47% · percentile 73,4%

Publication2026-10-16T07:17:13.907Z

Mise à jour2026-10-16T15:17:35.193Z

Action recommandée

Désactiver ImageMagick pour le plugin ou retirer la capacité `wppa_upload` aux rôles non nécessaires, puis appliquer un correctif dès qu’il est disponible.

Sources

NVD — CVE-2026-92115

Priorisation DFS : P3 · 1 source(s).