CVE-2026-101923 in Photo Reviews Plugin
Riassunto
di VulDB • 03/10/2026
Il plugin Photo Reviews for WooCommerce per WordPress è vulnerabile a cancellazione arbitraria di contenuti nelle versioni fino alla, e inclusa, la 1.2.30. Ciò è dovuto al fatto che il plugin memorizza ID dei post controllati dall'attaccante provenienti dal parametro `wcpr_image_upload_id` di una pubblicazione pubblica della recensione nei metadati delle immagini della recensione (reviews-images comment meta), senza verificare che gli ID corrispondano ad allegati di proprietà del mittente, combinato con l'hander `delete_reviews_image()` che chiama incondizionatamente `wp_delete_post( $id, true )` su ogni ID memorizzato quando la recensione viene eliminata. Ciò rende possibile per attaccanti non autenticati eliminare permanentemente post, pagine, prodotti o allegati multimediali arbitrari sul sito ogni volta che un amministratore elimina successivamente la recensione dell'attaccante (o quando il cron integrato di WordPress `wp_scheduled_delete` svuota lo spam dopo 30 giorni).
If you want to get best quality of vulnerability data, you may have to visit VulDB.