CVE-2026-101923 in Photo Reviews Plugin
要約
〜によって VulDB • 2026年10月03日
WordPress用プラグイン「Photo Reviews for WooCommerce」のバージョン1.2.30以前には、任意のコンテンツ削除（Arbitrary Content Deletion）の脆弱性が存在します。これは、公開されたレビュー投稿における `wcpr_image_upload_id` パラメータから攻撃者が制御可能な投稿IDを、そのレビューの reviews-images コメントメタデータに保存する際、これらのIDが送信者所有のアタッチメントに対応しているか検証しないことと、レビュー削除時に `delete_reviews_image()` ハンドラーが保存されたすべてのIDに対して条件なしで `wp_delete_post( $id, true )` を呼び出すことの組み合わせによるものです。これにより、認証されていない攻撃者は、管理者が後から攻撃者のレビューを削除した場合（またはWordPressの組み込み機能である wp_scheduled_delete cronジョブが30日後にコメントゴミ箱を空にした場合）に、サイト上の任意の投稿、ページ、製品、メディアアタッチメントを恒久的に削除することが可能になります。
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.