CVE-2026-18048: Path Traversal Vulnerability in WP Photo Album Plus

Zusammenfassung

Das WordPress-Plugin WP Photo Album Plus in Versionen vor 9.2.07.002 enthält eine kritische Sicherheitslücke, die es unauthentifizierten Angreifern ermöglicht, beliebige ZIP-Archive vom Server zu löschen. Die Schwachstelle basiert auf fehlender Eingabevalidierung und mangelnden Autorisierungsprüfungen in öffentlichen API-Endpoints.

Betroffene Systeme

• WP Photo Album Plus < 9.2.07.002
• WordPress-Installationen mit aktiviertem Plugin
• Alle Betriebssysteme, auf denen das Plugin läuft

Technische Details

Angriffsvektor: Netzwerk | CVSS-Score: 7.5 (High)

Die Vulnerabilität entsteht durch die unzureichende Sanitisierung benutzerkontrollierter Eingaben bei der Dateipfad-Konstruktion. Ein öffentlicher Endpoint akzeptiert Parameter ohne Validierung und führt Dateioperation durch, ohne die Identität oder Berechtigung des Anfragenden zu überprüfen.

Angreifer können Path-Traversal-Techniken nutzen (z.B. ../../../-Sequenzen), um auf Dateien außerhalb des Web-Root-Verzeichnisses zuzugreifen und diese zu löschen. Dies betrifft auch kritische Systemdateien und Backups.

Empfohlene Massnahmen

• Sofortmassnahme: Plugin deaktivieren und deinstallieren bis zur Patch-Verfügbarkeit
• Eingabevalidierung: Nur erwartete Dateinamen zulassen, keine Sonderzeichen
• Authentifizierung: Benutzer-Authentifikation vor kritischen Operationen erzwingen
• Autorisierung: Dateioperationen auf berechtigung-überprüfte Benutzer beschränken
• Monitoring: Logs auf verdächtige Dateilöschungen überprüfen

Bewertung

Risikostufe: HIGH | Status: Patch ausstehend

Diese Vulnerability stellt eine erhebliche Bedrohung dar, da keine Authentifizierung erforderlich ist. Betroffene Systeme sollten sofort reagieren.