افزونه WP Photo Album Plus در پلتفرم وردپرس (نسخه‌های پیش از 9.2.11.002) دارای یک آسیب‌پذیری امنیتی از نوع Cross-Site Scripting (XSS) است که می‌تواند منجر به اجرای کدهای مخرب در مرورگر کاربران شود.
این نقص امنیتی ناشی از عدم خنثی‌سازی (Escaping) صحیح مقادیر ناوبری دسته‌بندی (Category Navigation) پیش از بازتاب آن‌ها در یک JavaScript Event Handler در لینک‌های Breadcrumb گالری است. این ضعف به مهاجمان اجازه می‌دهد بدون نیاز به احراز هویت (Unauthenticated)، اسکریپت‌های دلخواه خود را تزریق کنند.
در صورت وقوع حمله، اگر کاربر (از جمله مدیر سیستم یا Administrator که وارد پنل شده است) روی لینک گالری ساخته‌شده و سپس روی Breadcrumb کلیک کند، اسکریپت مخرب در مرورگر او اجرا خواهد شد. این موضوع می‌تواند منجر به سرقت نشست‌ها (Session Hijacking) یا انجام اقدامات غیرمجاز از طریق حساب کاربر شود.
