CVE-2026-101923 in Photo Reviews Plugin
Sumário
de VulDB • 03/10/2026
O plugin Photo Reviews for WooCommerce para WordPress é vulnerável a Exclusão Arbitrária de Conteúdo nas versões até, e incluindo, a 1.2.30. Isso ocorre porque o plugin armazena IDs de posts controlados pelo atacante provenientes do parâmetro `wcpr_image_upload_id` de uma submissão pública de revisão na meta-comentário reviews-images da revisão, sem verificar se os IDs correspondem a anexos pertencentes ao remetente, combinado com o manipulador `delete_reviews_image()` chamando incondicionalmente `wp_delete_post( $id, true )` em cada ID armazenado quando a revisão é excluída. Isso permite que atacantes não autenticados excluam permanentemente posts, páginas, produtos ou anexos de mídia arbitrários no site sempre que um administrador excluir posteriormente a revisão do atacante (ou quando o cron `wp_scheduled_delete` embutido do WordPress esvaziar a lixeira de comentários após 30 dias).
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.