CVE-2026-101923
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Wtyczka Photo Reviews for WooCommerce do WordPressa, w wersjach do 1.2.30 włącznie, jest podatna na arbitralne usuwanie treści. Dzieje się tak, ponieważ wtyczka przechowuje identyfikatory postów kontrolowane przez atakującego w meta komentarza recenzji, bez weryfikacji, czy należą one do zgłaszającego, a funkcja usuwania recenzji bezwarunkowo usuwa wszystkie przechowywane identyfikatory. Pozwala to nieuwierzytelnionym atakującym na trwałe usunięcie dowolnych postów, stron, produktów lub załączników, gdy administrator usunie recenzję atakującego lub gdy cron WordPressa opróżni kosz komentarzy po 30 dniach.
Ocena ryzyka
Organizacja może stracić ważne treści, takie jak strony, produkty czy media, bez możliwości odzyskania, co może prowadzić do przerw w działaniu sklepu i utraty danych.
Rekomendacja
Zaktualizuj wtyczkę Photo Reviews for WooCommerce do najnowszej wersji, która zawiera poprawkę. Jeśli aktualizacja nie jest dostępna, tymczasowo wyłącz wtyczkę lub ogranicz możliwość składania recenzji.
Inne podatności w Photo Reviews for WooCommerce
Zobacz wszystkie- CVE-2026-100515Wysokie
Podatność polegająca na niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej (Cross-site Scripting) w wtyczce Photo Reviews for WooCommerce (woo-photo-reviews) firmy VillaTheme umożliwia odbity XSS. Problem dotyczy wersji od n/a do 1.2.30.
- CVE-2026-100517Wysokie
Wtyczka Photo Reviews for WooCommerce w wersjach do 1.2.30 zawiera podatność typu Insecure Direct Object References (IDOR), którą może wykorzystać nieuwierzytelniony atakujący. Brak kontroli dostępu pozwala na dostęp do obiektów, do których użytkownik nie powinien mieć uprawnień.
Oryginalny opis (angielski, źródło NVD)
The Photo Reviews for WooCommerce plugin for WordPress is vulnerable to Arbitrary Content Deletion in versions up to, and including, 1.2.30. This is due to the plugin storing attacker-controlled post IDs from the wcpr_image_upload_id parameter of a public review submission into the review's reviews-images comment meta without verifying that the IDs correspond to attachments owned by the submitter, combined with the delete_reviews_image() handler unconditionally calling wp_delete_post( $id, true ) on every stored ID when the review is deleted. This makes it possible for unauthenticated attackers to permanently delete arbitrary posts, pages, products, or media attachments on the site whenever an administrator subsequently deletes the attacker's review (or when WordPress's built-in wp_scheduled_delete cron empties the comment trash after 30 days).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS