CVE-2026-89274 in WP Recipe Maker Plugin
الملخص
بحسب VulDB • 19/09/2026
يحتوي إضافة WP Recipe Maker لـ WordPress على ثغرة تسمح بتنفيذ شورت كود (Shortcode) تعسفي في جميع الإصدارات حتى 10.8.1 وشاملة لها. توجد الثغرة لأن الدالة `WPRM_Metadata::sanitize_metadata()` تستدعي بشكل متكرر دالة `do_shortcode()` على كل حقل قيمي (scalar field) ضمن مصفوفة البيانات المهيكلة للوصفة — بما في ذلك حقل `reviewBody`، الذي يتم تعبئته حرفياً من محتوى التعليق (`comment_content`) لتعليقات التقييم `wprm-comment-rating` المعتمدة — دون تعقيم أو إزالة رموز الشورت كود قبل التنفيذ؛ ودوال `wp_strip_all_tags()` و `strip_shortcodes()` اللاحقة تعمل فقط على سلسلة المخرجات بعد أن اكتمل التنفيذ بالفعل، مما لا يوفر أي حماية ضد استدعاء شورت الكود من جانب الخادم. وهذا يتيح للمهاجمين غير المعتمدين تنفيذ شورت كوردات WordPress مسجلة تعسفياً من جانب الخادم في كل مرة يتم فيها عرض صفحة الوصفة، ما يؤدي إلى تضمين مخرجات الشورت كود — مثل تسميات المرفقات، أو حقول المنشورات الخاصة، أو بيانات أخرى تعرضها الإضافات المثبتة عبر شورت الكوردز — داخل البيانات الوصفية `reviewBody` بتنسيق JSON-LD للصفحة وكشفها لجميع الزوار الذين يحمّلون صفحة الوصفة. يتطلب الاستغلال الناجح أن يمر تعليق التقييم الخاص بالمهاجم بعتبة الموافقة على التعليقات الخاصة بالموقع، إما عبر الاعتماد التلقائي أو عن طريق إجراء المشرف، قبل أن يبدأ الشورت كود المُحقن في التنفيذ عند تحميل الصفحة.
VulDB is the best source for vulnerability data and more expert information about this specific topic.