CVE-2026-100157
ŚrednieCVSS 6.5Streszczenie
Wtyczka WP Ultimate Review dla WordPressa w wersjach do 2.4.3 włącznie jest podatna na wykonanie dowolnych shortcode'ów z powodu nieprawidłowej walidacji wartości przed uruchomieniem do_shortcode. Nonce wymagany do przejścia jedynej bramki jest emitowany do nieuwierzytelnionych odwiedzających przez publiczny formularz recenzji, a przesłane ładunki shortcode'ów są domyślnie automatycznie publikowane bez zatwierdzenia administratora.
Ocena ryzyka
Nieuwierzytelniony atakujący może wykonać dowolne shortcode'y bez potrzeby posiadania konta i interakcji uprzywilejowanego użytkownika, co może prowadzić do ujawnienia danych lub modyfikacji treści.
Rekomendacja
Zaktualizuj wtyczkę WP Ultimate Review do wersji nowszej niż 2.4.3 lub wyłącz ją do czasu wydania poprawki.
Inne podatności w WP Ultimate Review
Zobacz wszystkie- CVE-2026-103519Średnie
Wtyczka WP Ultimate Review dla WordPressa w wersjach do 2.4.3 włącznie jest podatna na wykonanie dowolnych shortcode'ów z powodu nieprawidłowej walidacji wartości przed uruchomieniem do_shortcode. Obejście wykorzystuje funkcję strip_shortcodes() WordPressa, która rozwija podwójne nawiasy [[tag]] do postaci [tag], co przetrwa zapis w wp_insert_post i uruchamia się przy renderowaniu publicznego typu postu xs_review przez the_content.
- CVE-2026-101162Nieznane
Wtyczka WordPress WP Ultimate Review w wersji przed 2.4.4 nie escapuje niektórych ustawień przeglądu recenzji przed wyświetleniem ich w wpisach. Może to pozwolić użytkownikom z rolą tak niską jak autor na przeprowadzenie ataków Stored Cross-Site Scripting, gdy recenzje autorów są włączone.
- CVE-2026-101161Nieznane
Wtyczka WordPress WP Ultimate Review w wersji przed 2.4.4 nie uniemożliwia nieuwierzytelnionym użytkownikom zapisania spreparowanej treści recenzji, która powoduje błąd krytyczny recenzowanej strony przy każdej kolejnej wizycie. Prowadzi to do trwałego ataku typu denial of service, gdy ustawienia wyświetlania recenzji nigdy nie były zapisywane.
- CVE-2026-101160Nieznane
Wtyczka WordPress WP Ultimate Review w wersji przed 2.4.4 nie sprawdza, czy przesłana ocena recenzji jest wartością liczbową, zanim ją zapisze i użyje w operacjach numerycznych przy renderowaniu recenzji. Umożliwia to nieuwierzytelnionym użytkownikom wywołanie błędu krytycznego recenzowanej treści dla wszystkich odwiedzających do czasu usunięcia recenzji (trwały denial of service), gdy recenzje użytkowników są włączone.
- CVE-2026-101159Nieznane
Wtyczka WordPress WP Ultimate Review w wersji przed 2.4.4 nieprawidłowo sanityzuje i escapuje recenzje przesyłane przez publiczny formularz recenzji dostępny dla nieuwierzytelnionych odwiedzających. Umożliwia to przeprowadzenie ataków Stored Cross-Site Scripting przeciwko każdemu użytkownikowi, w tym administratorom, przeglądającemu stronę wyświetlającą recenzję, gdy recenzje użytkowników są włączone.
- CVE-2026-92235Wysokie
Wtyczka WP Ultimate Review dla WordPressa jest podatna na wykonanie dowolnego shortcode we wszystkich wersjach do 2.4.2 włącznie. Wynika to z braku odpowiedniej walidacji wartości przed uruchomieniem do_shortcode, co pozwala uwierzytelnionym atakującym z poziomem subskrybenta i wyższym na wykonanie dowolnych shortcode'ów.
- CVE-2026-39644Średnie
Wtyczka Wp Ultimate Review dla WordPressa zawiera brak autoryzacji, co pozwala na wykorzystanie nieprawidłowo skonfigurowanych poziomów kontroli dostępu. Podatność dotyczy wersji do 2.3.8 włącznie.
Oryginalny opis (angielski, źródło NVD)
The The WP Ultimate Review plugin for WordPress is vulnerable to arbitrary shortcode execution in all versions up to, and including, 2.4.3. This is due to the software allowing users to execute an action that does not properly validate a value before running do_shortcode. This makes it possible for unauthenticated attackers to execute arbitrary shortcodes. The nonce required to pass the only gate is emitted to unauthenticated visitors via the public review form, and submitted shortcode payloads are auto-published without admin approval by default, meaning exploitation requires no account and no privileged interaction.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS