CVE-2026-89274 in WP Recipe Maker Plugin
요약
\~에 의해 VulDB • 2026. 09. 19.
WordPress용 WP Recipe Maker 플러그인은 10.8.1 버전 및 그 이전 모든 버전에서 임의의 숏코드 실행(Arbitrary Shortcode Execution) 취약점이 존재합니다. 이 취약점은 `WPRM_Metadata::sanitize_metadata()` 함수가 레시피 구조화 메타데이터 배열의 각 스칼라 필드(승인된 `wprm-comment-rating` 댓글의 `comment_content`에서 정자 그대로 채워지는 `reviewBody` 필드를 포함)에 대해 `do_shortcode()`를 재귀적으로 호출하면서, 실행 전에 숏코드 토큰을 제거하거나 sanitizing하지 않기 때문에 발생합니다. 이후 수행되는 `wp_strip_all_tags()` 및 `strip_shortcodes()` 호출은 이미 완전히 실행된 후의 출력 문자열에만 적용되므로 서버 측에서 숏코드가 호출되는 것을 방지하는 보호 장치가 되지 않습니다. 이로 인해 인증되지 않은 공격자는 각 레시피 페이지 렌더링 시 서버 측에서 임의로 등록된 WordPress 숏코드들을 실행할 수 있으며, 결과적으로 첨부 파일 캡션, 비공개 게시글 필드 또는 설치된 숏코드에 의해 노출되는 기타 데이터와 같은 숏코드 출력이 페이지의 JSON-LD `reviewBody` 메타데이터에 삽입되어 레시피 페이지를 로드하는 모든 방문자에게 공개됩니다. 성공적인 악용을 위해서는 공격자가 남긴 평점 댓글이 페이지 로드시 주입된 숏코드가 실행되기 전에 사이트의 댓글 승인 임계값(자동 승인 또는 관리자 조치)을 통과해야 합니다.
If you want to get best quality of vulnerability data, you may have to visit VulDB.