CVE-2026-101923 in Photo Reviews Plugin
요약
\~에 의해 VulDB • 2026. 10. 03.
WordPress용 WooCommerce 플러그인인 Photo Reviews는 최대 버전 1.2.30까지 임의 콘텐츠 삭제 취약점(Arbitrary Content Deletion)에 노출되어 있습니다. 이는 공격자가 제어하는 게시물 ID(post IDs)가 공개 리뷰 제출 시 사용되는 wcpr_image_upload_id 매개변수를 통해 검증 없이 리뷰의 reviews-images 댓글 메타데이터로 저장되기 때문이며, 또한 리뷰가 삭제될 때 delete_reviews_image() 핸들러가 모든 저장된 ID에 대해 wp_delete_post( $id, true )를 무조건적으로 호출하기 때문입니다. 이로 인해 인증되지 않은 공격자는 관리자가 나중에 공격자의 리뷰를 삭제하거나 WordPress의 내장 cron인 wp_scheduled_delete가 30일 후 댓글 휴지통을 비울 때 사이트상의 임의 게시물, 페이지, 제품 또는 미디어 첨부 파일을 영구적으로 삭제할 수 있습니다.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.