CVE-2026-101923
WysokieCVSS 8.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 26 - wyżej niż 26% wszystkich znanych CVE
Streszczenie
Wtyczka Photo Reviews for WooCommerce do WordPressa, w wersjach do 1.2.30 włącznie, jest podatna na arbitralne usuwanie treści. Dzieje się tak, ponieważ wtyczka przechowuje identyfikatory postów kontrolowane przez atakującego w meta komentarza recenzji, bez weryfikacji, czy należą one do zgłaszającego, a funkcja usuwania recenzji bezwarunkowo usuwa wszystkie przechowywane identyfikatory. Pozwala to nieuwierzytelnionym atakującym na trwałe usunięcie dowolnych postów, stron, produktów lub załączników, gdy administrator usunie recenzję atakującego lub gdy cron WordPressa opróżni kosz komentarzy po 30 dniach.
Ocena ryzyka
Organizacja może stracić ważne treści, takie jak strony, produkty czy media, bez możliwości odzyskania, co może prowadzić do przerw w działaniu sklepu i utraty danych.
Rekomendacja
Zaktualizuj wtyczkę Photo Reviews for WooCommerce do najnowszej wersji, która zawiera poprawkę. Jeśli aktualizacja nie jest dostępna, tymczasowo wyłącz wtyczkę lub ogranicz możliwość składania recenzji.
Inne podatności w Photo Reviews for WooCommerce
Zobacz wszystkie- CVE-2026-110251Średnie
Wtyczka Photo Reviews for WooCommerce dla WordPressa jest podatna na nieautoryzowane usuwanie plików z biblioteki mediów w wersjach do 1.2.31 włącznie. Funkcja delete_reviews_image() ufa identyfikatorom załączników dostarczonym przez parametr POST wcpr_image_upload_id, które są przechowywane w metadanych komentarza bez sprawdzenia własności lub uprawnień, co pozwala nieuwierzytelnionemu atakującemu na trwałe usunięcie dowolnego załącznika.
- CVE-2026-111404Niskie
Wtyczka Photo Reviews for WooCommerce (do wersji 1.2.31) zawiera podatność typu race condition wynikającą z niewłaściwej synchronizacji współdzielonych zasobów. Może to pozwolić atakującemu na wykorzystanie warunków wyścigu do nieautoryzowanych działań.
- CVE-2026-100161Wysokie
Wtyczka Photo Reviews for WooCommerce dla WordPressa jest podatna na trwały atak XSS (DOM-based) przez parametr 'wcpr_image_upload_id' w wersjach do 1.2.30 włącznie. Brak odpowiedniego filtrowania i eskejpowania wyjścia pozwala nieuwierzytelnionym atakującym wstrzyknąć skrypty, które wykonują się przy dostępie do strony.
- CVE-2026-100515Wysokie
Podatność polegająca na niewłaściwej neutralizacji danych wejściowych podczas generowania strony internetowej (Cross-site Scripting) w wtyczce Photo Reviews for WooCommerce (woo-photo-reviews) firmy VillaTheme umożliwia odbity XSS. Problem dotyczy wersji od n/a do 1.2.30.
- CVE-2026-100517Wysokie
Wtyczka Photo Reviews for WooCommerce (VillaTheme) do wersji 1.2.30 zawiera podatność obejścia autoryzacji przez klucz kontrolowany przez użytkownika. Pozwala to na wykorzystanie błędnie skonfigurowanych poziomów kontroli dostępu.
Oryginalny opis (angielski, źródło NVD)
The Photo Reviews for WooCommerce plugin for WordPress is vulnerable to Arbitrary Content Deletion in versions up to, and including, 1.2.30. This is due to the plugin storing attacker-controlled post IDs from the wcpr_image_upload_id parameter of a public review submission into the review's reviews-images comment meta without verifying that the IDs correspond to attachments owned by the submitter, combined with the delete_reviews_image() handler unconditionally calling wp_delete_post( $id, true ) on every stored ID when the review is deleted. This makes it possible for unauthenticated attackers to permanently delete arbitrary posts, pages, products, or media attachments on the site whenever an administrator subsequently deletes the attacker's review (or when WordPress's built-in wp_scheduled_delete cron empties the comment trash after 30 days).
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS