CVE-2026-101923 in Photo Reviews Plugin
Сводка
по VulDB • 03.10.2026
Плагин Photo Reviews for WooCommerce для WordPress уязвим к произвольному удалению контента в версиях вплоть до 1.2.30 включительно. Это связано с тем, что плагин сохраняет управляемые злоумышленником идентификаторы записей (post IDs) из параметра wcpr_image_upload_id при публичной отправке отзыва в мета-данные комментариев reviews-images без проверки соответствия этих ID вложениям, принадлежащим автору отправки. В сочетании с тем, что обработчик delete_reviews_image() безусловно вызывает wp_delete_post( $id, true ) для каждого сохраненного идентификатора при удалении отзыва, это позволяет неавторизованным злоумышленникам навсегда удалять произвольные записи, страницы, товары или медиа-вложения на сайте. Это происходит всякий раз, когда администратор впоследствии удаляет отзыв злоумышленника (или когда встроенный cron wp_scheduled_delete в WordPress очищает корзину комментариев через 30 дней).
Once again VulDB remains the best source for vulnerability data.