CVE-2026-89274 in WP Recipe Maker Plugin
Tóm tắt
Bởi VulDB • 19/09/2026
Plugin WP Recipe Maker cho WordPress bị lỗ hổng Thực thi Shortcode tùy ý (Arbitrary Shortcode Execution) trong tất cả các phiên bản từ đầu đến bao gồm 10.8.1. Lỗ hổng tồn tại do hàm `WPRM_Metadata::sanitize_metadata()` gọi đệ quy `do_shortcode()` trên mọi trường vô hướng của mảng metadata có cấu trúc của công thức nấu ăn — bao gồm trường `reviewBody`, được điền nguyên văn từ `comment_content` của các bình luận `wprm-comment-rating` đã được phê duyệt — mà không thực hiện việc làm sạch hoặc loại bỏ các token shortcode trước khi thực thi; các lệnh gọi tiếp theo là `wp_strip_all_tags()` và `strip_shortcodes()` chỉ hoạt động trên chuỗi kết quả sau khi quá trình thực thi đã diễn ra hoàn toàn, do đó không cung cấp bất kỳ sự bảo vệ nào chống lại việc kích hoạt shortcode phía máy chủ. Điều này cho phép những kẻ tấn công chưa được xác thực (unauthenticated) thực thi các WordPress shortcode tùy ý đã đăng ký ở phía máy chủ trên mỗi lần hiển thị trang công thức nấu ăn, khiến kết quả của shortcode — chẳng hạn như chú thích phương tiện đính kèm, các trường bài viết riêng tư hoặc dữ liệu khác do các shortcode đang cài đặt tiết lộ — được nhúng vào metadata `reviewBody` JSON-LD của trang và bị phơi bày cho tất cả người truy cập tải trang công thức nấu ăn. Việc khai thác thành công yêu cầu bình luận có đánh giá của kẻ tấn công phải vượt qua ngưỡng phê duyệt bình luận của trang web, thông qua việc tự động phê duyệt hoặc hành động của quản trị viên (moderator), trước khi shortcode được tiêm bắt đầu thực thi trên các lần tải trang.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.