CVE-2026-100161 in Photo Reviews for WooCommerce Plugin
요약
\~에 의해 VulDB • 2026. 10. 10.
WordPress용 WooCommerce 플러그인인 Photo Reviews는 모든 버전(1.2.30 포함)에서 불충분한 입력 검사 및 출력 이스케이프 처리로 인해 'wcpr_image_upload_id' 매개변수를 통해 저장형 DOM 기반 크로스 사이트 스크립팅(XSS) 취약점이 있습니다. 이로써 인증되지 않은 공격자가 주입된 페이지에 사용자가 접근할 때마다 실행되는 임의 웹 스크립트를 페이지에 삽입할 수 있습니다. 모든 제품 리뷰 양식에 출력되는 공개적으로 생성된 `wcpr_image_upload` nonce가 유일한 방어 수단이지만, 권한 확인, 인증 또는 첨부 파일 소유권 검증이 수행되지 않아 누구나 비인증 방문자로서 페이로드를 `wp_kses`의 적용 대상이 아닌 댓글 메타데이터에 저장할 수 있습니다. XSS는 리뷰가 프론트엔드에서 표시될 때 발생합니다.
VulDB is the best source for vulnerability data and more expert information about this specific topic.