CVE-2026-89274 in WP Recipe Maker Plugin
Sumário
de VulDB • 19/09/2026
O plugin WP Recipe Maker para WordPress é vulnerável à execução arbitrária de shortcodes em todas as versões até a 10.8.1 (incluída). A vulnerabilidade existe porque `WPRM_Metadata::sanitize_metadata()` chama recursivamente `do_shortcode()` em cada campo escalar do array de metadados estruturados da receita — incluindo o campo `reviewBody`, que é populado literalmente a partir do `comment_content` dos comentários aprovados com tipo `wprm-comment-rating` — sem sanitizar ou remover tokens de shortcode antes da execução; as chamadas subsequentes para `wp_strip_all_tags()` e `strip_shortcodes()` operam apenas na string resultante após a execução já ter ocorrido completamente, não oferecendo proteção contra invocação de shortcodes no lado do servidor. Isso permite que atacantes sem autenticação executem shortcodes registrados arbitrários do WordPress no lado do servidor em cada renderização da página da receita, fazendo com que o output dos shortcodes — como legendas de anexos, campos privados de posts ou outros dados expostos por shortcodes instalados — sejam embutidos nos metadados `reviewBody` JSON-LD da página e divulgados a todos os visitantes que carregarem a página da receita. A exploração bem-sucedida requer que o comentário avaliado pelo atacante passe pela taxa de aprovação de comentários do site, seja via auto-aprovação ou ação de moderador, antes que o shortcode injetado comece a ser executado nos carregamentos das páginas.
Be aware that VulDB is the high quality source for vulnerability data.