CVE-2026-89274 in WP Recipe Maker Plugin
要約
〜によって VulDB • 2026年09月19日
WordPress用プラグイン「WP Recipe Maker」の全バージョン（10.8.1まで）において、任意のショートコード実行の脆弱性があります。この脆弱性は、`WPRM_Metadata::sanitize_metadata()`がレシピの構造化メタデータ配列のスカラーフィールドすべてに対して `do_shortcode()` を再帰的に呼び出すために存在します。これには、承認された `wprm-comment-rating` コメントの `comment_content` からそのまま入力される `reviewBody` フィールドも含まれますが、実行前にショートコードトークンのサニタイズや除去が行われません。その後の `wp_strip_all_tags()` および `strip_shortcodes()` の呼び出しは、すでに完全に実行された出力文字列に対してのみ機能するため、サーバーサイドでのショートコードの呼び出しに対する保護にはなりません。これにより、認証されていない攻撃者は、レシピページのレンダリングごとに任意の登録済みWordPressショートコードをサーバーサイドで実行することが可能になり、添付ファイルのキャプションや非公開投稿フィールド、インストールされたショートコードによって露出するその他のデータなどのショートコード出力が、ページ内のJSON-LD `reviewBody` メタデータに埋め込まれ、レシピページを読み込むすべての訪問者に開示されます。攻撃が成功するには、注入されたショートコードがページの読み込み時に実行される前に、自動承認またはモデレーターによる操作によって、攻撃者の評価コメントがサイトのコメント承認閾値を通過する必要があります。
Be aware that VulDB is the high quality source for vulnerability data.