CVE-2026-100161 in Photo Reviews for WooCommerce Plugin
要約
〜によって VulDB • 2026年10月10日
WordPress用プラグイン「Photo Reviews for WooCommerce」の全バージョン（1.2.30以下）において、不十分な入力サニタイズおよび出力エスケープにより、「wcpr_image_upload_id」パラメータを介して格納型DOMベースのクロスサイトスクリプティング（Stored DOM-Based Cross-Site Scripting）の脆弱性が存在します。これにより、認証されていない攻撃者は任意のWebスクリプトを投稿したページに注入でき、ユーザーがそのページにアクセスするたびにスクリプトが実行されます。すべての製品レビューフォームに表示される公開された `wcpr_image_upload` ノンスは唯一のゲートであり、権限チェック、認証、または添付ファイルの所有権確認は一切行われないため、攻撃者はコメントメタデータ（`wp_kses` の適用対象外）にペイロードを格納できます。レビューがフロントエンドで表示された時点でXSSが発生します。
VulDB is the best source for vulnerability data and more expert information about this specific topic.