CVE-2026-110251
ŚrednieCVSS 5.4Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 25 - wyżej niż 25% wszystkich znanych CVE
Streszczenie
Wtyczka Photo Reviews for WooCommerce dla WordPressa jest podatna na nieautoryzowane usuwanie plików z biblioteki mediów w wersjach do 1.2.31 włącznie. Funkcja delete_reviews_image() ufa identyfikatorom załączników dostarczonym przez parametr POST wcpr_image_upload_id, które są przechowywane w metadanych komentarza bez sprawdzenia własności lub uprawnień, co pozwala nieuwierzytelnionemu atakującemu na trwałe usunięcie dowolnego załącznika.
Ocena ryzyka
Atakujący może usunąć dowolne pliki z biblioteki mediów WordPressa, powodując utratę danych i potencjalne zakłócenia w działaniu witryny. Wymaga to jedynie publicznie dostępnego nonce, więc atak jest trywialny.
Rekomendacja
Zaktualizuj wtyczkę Photo Reviews for WooCommerce do wersji nowszej niż 1.2.31. Do czasu aktualizacji rozważ wyłączenie wtyczki lub ograniczenie możliwości dodawania recenzji.
Inne podatności w Photo Reviews for WooCommerce
Zobacz wszystkie- CVE-2026-111404Niskie
Wtyczka Photo Reviews for WooCommerce (do wersji 1.2.31) zawiera podatność typu race condition wynikającą z niewłaściwej synchronizacji współdzielonych zasobów. Może to pozwolić atakującemu na wykorzystanie warunków wyścigu do nieautoryzowanych działań.
- CVE-2026-100161Wysokie
Wtyczka Photo Reviews for WooCommerce dla WordPressa jest podatna na trwały atak XSS (DOM-based) przez parametr 'wcpr_image_upload_id' w wersjach do 1.2.30 włącznie. Brak odpowiedniego filtrowania i eskejpowania wyjścia pozwala nieuwierzytelnionym atakującym wstrzyknąć skrypty, które wykonują się przy dostępie do strony.
- CVE-2026-100515Wysokie
Podatność polegająca na niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej (Cross-site Scripting) w wtyczce Photo Reviews for WooCommerce (woo-photo-reviews) firmy VillaTheme umożliwia odbity XSS. Problem dotyczy wersji od n/a do 1.2.30.
- CVE-2026-101923Wysokie
Wtyczka Photo Reviews for WooCommerce do WordPressa, w wersjach do 1.2.30 włącznie, jest podatna na arbitralne usuwanie treści. Dzieje się tak, ponieważ wtyczka przechowuje identyfikatory postów kontrolowane przez atakującego w meta komentarza recenzji, bez weryfikacji, czy należą one do zgłaszającego, a funkcja usuwania recenzji bezwarunkowo usuwa wszystkie przechowywane identyfikatory. Pozwala to nieuwierzytelnionym atakującym na trwałe usunięcie dowolnych postów, stron, produktów lub załączników, gdy administrator usunie recenzję atakującego lub gdy cron WordPressa opróżni kosz komentarzy po 30 dniach.
- CVE-2026-100517Wysokie
Wtyczka Photo Reviews for WooCommerce (VillaTheme) do wersji 1.2.30 zawiera podatność obejścia autoryzacji przez klucz kontrolowany przez użytkownika. Pozwala to na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
The Photo Reviews for WooCommerce plugin for WordPress is vulnerable to unauthorized Media Library File Deletion in all versions up to, and including, 1.2.31. This is due to the `delete_reviews_image()` function's `delete_comment` hook trusting attachment IDs supplied via the `wcpr_image_upload_id` POST parameter that were stored in comment meta without any ownership or capability check — `viwcpr_filter_review_image_ids()` verifies only that each submitted ID refers to an attachment post type, not that the submitter uploaded or owns it. This makes it possible for unauthenticated attackers to permanently delete any WordPress media library attachment — including its files on disk as recorded by `wp_delete_attachment()` — by embedding attacker-chosen attachment IDs into a review comment, then waiting for a moderator to remove the review or for WordPress core's `wp_scheduled_delete` cron to purge it after `EMPTY_TRASH_DAYS`. The nonce required to submit the parameter (`wcpr_image_upload`) is a shared public value printed on every product page for guest commenters and does not function as an authentication barrier, making this trivially exploitable without any account.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS