CVE-2026-100161
WysokieCVSS 7.2Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 17 - wyżej niż 17% wszystkich znanych CVE
Streszczenie
Wtyczka Photo Reviews for WooCommerce dla WordPressa jest podatna na trwały atak XSS (DOM-based) przez parametr 'wcpr_image_upload_id' w wersjach do 1.2.30 włącznie. Brak odpowiedniego filtrowania i eskejpowania wyjścia pozwala nieuwierzytelnionym atakującym wstrzyknąć skrypty, które wykonują się przy dostępie do strony.
Ocena ryzyka
Ryzyko obejmuje wykonanie skryptów w przeglądarkach użytkowników, co może prowadzić do kradzieży danych lub przejęcia sesji. Atak jest możliwy bez uwierzytelnienia, a nonce jest publicznie dostępny.
Rekomendacja
Zaleca się aktualizację wtyczki Photo Reviews for WooCommerce do najnowszej wersji. Należy również rozważyć dodanie walidacji uprawnień i własności plików.
Inne podatności w Photo Reviews for WooCommerce
Zobacz wszystkie- CVE-2026-100515Wysokie
Podatność polegająca na niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej (Cross-site Scripting) w wtyczce Photo Reviews for WooCommerce (woo-photo-reviews) firmy VillaTheme umożliwia odbity XSS. Problem dotyczy wersji od n/a do 1.2.30.
- CVE-2026-101923Wysokie
Wtyczka Photo Reviews for WooCommerce do WordPressa, w wersjach do 1.2.30 włącznie, jest podatna na arbitralne usuwanie treści. Dzieje się tak, ponieważ wtyczka przechowuje identyfikatory postów kontrolowane przez atakującego w meta komentarza recenzji, bez weryfikacji, czy należą one do zgłaszającego, a funkcja usuwania recenzji bezwarunkowo usuwa wszystkie przechowywane identyfikatory. Pozwala to nieuwierzytelnionym atakującym na trwałe usunięcie dowolnych postów, stron, produktów lub załączników, gdy administrator usunie recenzję atakującego lub gdy cron WordPressa opróżni kosz komentarzy po 30 dniach.
- CVE-2026-100517Wysokie
Wtyczka Photo Reviews for WooCommerce w wersjach do 1.2.30 zawiera podatność typu Insecure Direct Object References (IDOR), którą może wykorzystać nieuwierzytelniony atakujący. Brak kontroli dostępu pozwala na dostęp do obiektów, do których użytkownik nie powinien mieć uprawnień.
Oryginalny opis (angielski, źródło NVD)
The Photo Reviews for WooCommerce plugin for WordPress is vulnerable to Stored DOM-Based Cross-Site Scripting via the 'wcpr_image_upload_id' parameter in all versions up to, and including, 1.2.30 due to insufficient input sanitization and output escaping. This makes it possible for unauthenticated attackers to inject arbitrary web scripts in pages that will execute whenever a user accesses an injected page. The publicly-emitted `wcpr_image_upload` nonce printed on every product review form is the only gate, and no capability, authentication, or attachment ownership check is performed, allowing the payload to be stored in comment meta — which is not subject to `wp_kses` — by any unauthenticated visitor; the XSS fires once the review is visible on the frontend.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS