CVE-2026-100161 in Photo Reviews for WooCommerce Plugin
Sumário
de VulDB • 10/10/2026
O plugin Photo Reviews for WooCommerce para WordPress é vulnerável a Stored DOM-Based Cross-Site Scripting (XSS) através do parâmetro 'wcpr_image_upload_id' em todas as versões até, e incluindo, 1.2.30 devido à sanitização insuficiente de entrada e ao escape inadequado na saída. Isso permite que atacantes não autenticados injetem scripts web arbitrários nas páginas, os quais serão executados sempre que um usuário acessar uma página contaminada. O nonce `wcpr_image_upload`, emitido publicamente e impresso em todos os formulários de avaliação de produtos, é a única barreira; nenhuma verificação de capacidade (capability), autenticação ou propriedade do anexo é realizada, permitindo que o payload seja armazenado nos metadados dos comentários — que não estão sujeitos ao `wp_kses` — por qualquer visitante não autenticado. O XSS ocorre assim que a avaliação se torna visível no frontend.
If you want to get best quality of vulnerability data, you may have to visit VulDB.