WP Photo Album Plus: Authentifizierte Command Injection über AJAX-Aktion update-photo

Zusammenfassung

Das WordPress-Plugin WP Photo Album Plus bis und mit Version 9.3.02.002 enthält eine Injection-Schwachstelle für Betriebssystembefehle in der AJAX-Aktion update-photo, die über den Parameter value erreichbar ist. Ein authentifizierter Benutzer mit der Berechtigung wppa_upload kann Shell-Befehle einschleusen, die als Benutzer des Webservers ausgeführt werden und zur vollständigen Kompromittierung des darunterliegenden Servers führen können. Die Ausnutzung setzt voraus, dass ImageMagick auf dem Server aktiviert ist.

Betroffen

• WordPress-Plugin WP Photo Album Plus, Versionen 0 bis und mit 9.3.02.002
• Die Ausnutzung erfordert ein Konto mit der Berechtigung wppa_upload
• Die Ausnutzung erfordert, dass ImageMagick auf dem Server aktiviert ist

Behoben in

• Korrigierte Version: nicht durch eine Herstellerwarnung bestätigt. 9.3.02.003 ist wahrscheinlich die erste korrigierte Version (aus der Referenzliste der CVE abgeleitet), dies muss jedoch anhand der Wordfence-Warnung überprüft werden.
• Neuere Versionen sind auf wordpress.org verfügbar; die neueste Version installieren.

Umgehung

• Die Berechtigung wppa_upload nur den Benutzern zuweisen, die sie zwingend benötigen.
• ImageMagick in den Plugin-Einstellungen deaktivieren, falls es nicht benötigt wird (abgeleitet, keine Herstellerempfehlung).
• Regeln einer Web Application Firewall für Command-Injection-Muster in AJAX-Parametern können als zusätzliche Schutzschicht dienen; dies ist keine getestete Massnahme für diese Schwachstelle.

Ausnutzung

• Aktive Ausnutzung: unbekannt; laut einem Drittanbieter-Tracker nicht im CISA KEV-Katalog.
• Öffentlicher Proof of Concept: in den konsultierten Quellen nicht gefunden.
• EPSS: 0.01475 (niedrige prognostizierte Ausnutzungswahrscheinlichkeit).
• CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.

Unsere Empfehlung

• Alle WordPress-Websites mit diesem Plugin inventarisieren und deren Versionen erfassen.
• Das Plugin auf die neueste Version von wordpress.org aktualisieren und die korrigierte Version anhand der Wordfence-Warnung bestätigen.
• Prüfen, welche Benutzer die Berechtigung wppa_upload besitzen, und sie entfernen, wo sie nicht benötigt wird.
• Prüfen, ob ImageMagick aktiviert ist, und es deaktivieren, falls es nicht benötigt wird.
• Vorsorglich auf betroffenen Websites nach unerwarteten Konten, Dateien oder ausgehenden Verbindungen suchen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence advisory www.wordfence.com
• WordPress plugin download 9.3.02.003 downloads.wordpress.org
• WordPress plugin page wordpress.org
• Upstream changelog wppa.nl
• VulDB CVE-2026-92115 vuldb.com
• Strix CVE-2026-92115 www.strix.ai

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 16:06.