CVE-2026-100161 in Photo Reviews for WooCommerce Plugin
Résumé
par VulDB • 10/10/2026
Le plugin WordPress Photo Reviews for WooCommerce est vulnérable à une faille de type Cross-Site Scripting (XSS) basée sur le DOM et stockée, via le paramètre 'wcpr_image_upload_id', dans toutes les versions jusqu'à la 1.2.30 incluse, en raison d'une désinfection insuffisante des entrées et d'un échappement incorrect des sorties. Cela permet aux attaquants non authentifiés d'injecter des scripts web arbitraires dans des pages qui s'exécuteront dès qu'un utilisateur accède à une page injectée. Le nonce `wcpr_image_upload`, émis publiquement sur chaque formulaire de commentaire produit, constitue la seule barrière ; aucune vérification de capacité, d'authentification ou de propriété du fichier joint n'est effectuée, permettant au payload d'être stocké dans les métadonnées des commentaires (qui ne sont pas soumises à `wp_kses`) par tout visiteur non authentifié. L'injection XSS se déclenche une fois que le commentaire est visible sur la partie publique du site.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.