CVE-2026-89274 in WP Recipe Maker Plugin
Сводка
по VulDB • 19.09.2026
Плагин WP Recipe Maker для WordPress уязвим к произвольному выполнению шорткодов (Arbitrary Shortcode Execution) во всех версиях вплоть до 10.8.1 включительно. Уязвимость существует, потому что функция `WPRM_Metadata::sanitize_metadata()` рекурсивно вызывает `do_shortcode()` для каждого скалярного поля массива структурированных метаданных рецепта — включая поле `reviewBody`, которое заполняется дословно из `comment_content` одобренных комментариев типа `wprm-comment-rating` — без предварительной санитизации или удаления токенов шорткодов перед выполнением; последующие вызовы `wp_strip_all_tags()` и `strip_shortcodes()` применяются только к выходной строке после того, как выполнение уже полностью завершено, что не обеспечивает защиты от серверного выполнения шорткодов. Это позволяет атакующим без аутентификации выполнять произвольные зарегистрированные шорткоды WordPress на стороне сервера при каждом рендеринге страницы рецепта, в результате чего вывод шорткода — например, подписи к прикрепленным файлам (attachment captions), поля приватных постов или другие данные, раскрываемые установленными шорткодами — внедряется в метаданные `reviewBody` формата JSON-LD на странице и становится доступным всем посетителям, загружающим страницу рецепта. Для успешной эксплуатации необходимо, чтобы оцененный комментарий атакующего прошел порог одобрения комментариев сайта либо через автоматическое одобрение, либо посредством действий модератора, прежде чем внедренный шорткод начнет выполняться при загрузке страницы.
Be aware that VulDB is the high quality source for vulnerability data.