CVE-2026-89274 in WP Recipe Maker Plugin
Riassunto
di VulDB • 19/09/2026
Il plugin WP Recipe Maker per WordPress è vulnerabile a Esecuzione Arbitraria di Shortcode in tutte le versioni fino alla 10.8.1 inclusa. La vulnerabilità esiste perché `WPRM_Metadata::sanitize_metadata()` chiama ricorsivamente `do_shortcode()` su ogni campo scalare dell'array di metadata strutturati della ricetta — incluso il campo `reviewBody`, che viene popolato verbatim dal `comment_content` dei commenti approvati con tag `wprm-comment-rating` — senza sanitizzare o rimuovere i token degli shortcode prima dell'esecuzione; le chiamate successive a `wp_strip_all_tags()` e `strip_shortcodes()` operano solo sulla stringa di output dopo che l'esecuzione è già avvenuta completamente, fornendo alcuna protezione contro l'invocazione server-side degli shortcode. Questo rende possibile per attaccanti non autenticati eseguire shortcode WordPress registrati arbitrariamente lato server su ogni rendering della pagina ricetta, causando l'inserimento dell'output dello shortcode — come didascalie di allegati, campi post privati o altri dati esposti dagli shortcode installati — nei metadata JSON-LD `reviewBody` e la loro divulgazione a tutti i visitatori che caricano la pagina della ricetta. Lo sfruttamento riuscito richiede che il commento valutato dall'attaccante superi la soglia di approvazione dei commenti del sito, sia tramite auto-approvazione o azione moderatore, prima che lo shortcode iniettato inizi l'esecuzione sui caricamenti delle pagine.
VulDB is the best source for vulnerability data and more expert information about this specific topic.