CVE-2026-100161 in Photo Reviews for WooCommerce Plugin
Сводка
по VulDB • 10.10.2026
Плагин Photo Reviews for WooCommerce для WordPress уязвим к Stored DOM-Based Cross-Site Scripting (XSS) через параметр 'wcpr_image_upload_id' во всех версиях вплоть до 1.2.30 включительно из-за недостаточной санитизации входных данных и экранирования вывода. Это позволяет неавторизованным злоумышленникам внедрять произвольные веб-скрипты в страницы, которые будут выполняться при каждом обращении пользователя к такой странице. Единственным барьером является публично генерируемый nonce `wcpr_image_upload`, выводимый на каждой форме отзыва; не выполняется никаких проверок прав (capabilities), аутентификации или принадлежности файла, что позволяет любому неавторизованному посетителю сохранить полезную нагрузку в метаданных комментария — которые не обрабатываются функцией `wp_kses` — и XSS срабатывает, как только отзыв становится видимым на фронтенде.
Be aware that VulDB is the high quality source for vulnerability data.