CVE-2026-89274
KrytyczneCVSS 9.1Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
Wtyczka WP Recipe Maker dla WordPressa (wersje do 10.8.1 włącznie) pozwala na wykonanie dowolnych shortcode'ów. Funkcja sanitize_metadata() rekurencyjnie wywołuje do_shortcode() na polach metadanych przepisu, w tym na polu reviewBody pochodzącym z treści komentarzy, bez wcześniejszego oczyszczenia. Nieuwierzytelniony atakujący może wykonać dowolne zarejestrowane shortcode'y przy każdym renderowaniu strony przepisu, ujawniając dane w metadanych JSON-LD.
Ocena ryzyka
Nieuwierzytelniony atakujący może ujawnić dane (np. prywatne pola postów, podpisy załączników) wszystkim odwiedzającym stronę przepisu, co może prowadzić do wycieku informacji.
Rekomendacja
Zaktualizuj wtyczkę WP Recipe Maker do wersji nowszej niż 10.8.1 lub ją wyłącz, jeśli aktualizacja nie jest możliwa.
Inne podatności w WP Recipe Maker
Zobacz wszystkie- CVE-2026-86601Średnie
Wtyczka WP Recipe Maker dla WordPressa przed wersją 10.8.2 nie usuwa shortcode'ów z treści komentarzy przed ich rozwinięciem podczas budowania strukturalnych metadanych strony. Umożliwia to niezalogowanym użytkownikom wykonanie dowolnych shortcode'ów po stronie serwera oraz odczyt treści nieopublikowanych przepisów.
- CVE-2026-86608Wysokie
Wtyczka WordPress WP Recipe Maker w wersji przed 10.8.2 nie sprawdza uprawnień w jednej ze swoich tras REST i nie ogranicza ilości danych, które ta trasa zapisuje. Umożliwia to nieuwierzytelnionym użytkownikom zapisanie nieograniczonej ilości danych do metadanych dowolnego użytkownika oraz trwałe uniemożliwienie załadowania konta, w tym konta administratora.
- CVE-2026-90884Średnie
Wtyczka WP Recipe Maker dla WordPressa jest podatna na Stored Cross-Site Scripting przez parametr 'notes' we wszystkich wersjach do 10.8.1 włącznie, z powodu niewystarczającej sanityzacji wejścia i braku escapingu wyjścia. Uwierzytelnieni atakujący z dostępem na poziomie Contributor i wyżej mogą wstrzykiwać dowolne skrypty webowe.
- CVE-2026-75905Średnie
Wtyczka WP Recipe Maker dla WordPressa do wersji 10.8.0 włącznie jest podatna na obejście autoryzacji. Uwierzytelnieni atakujący z dostępem na poziomie współautora i wyższym mogą przejąć własność przepisów stworzonych przez administratorów oraz je opublikować.
- CVE-2025-62897Średnie
Wtyczka WP Recipe Maker firmy Brecht ma podatność polegającą na niewłaściwej neutralizacji tagów HTML związanych ze skryptami (podstawowy XSS), co pozwala na wstrzyknięcie kodu. Problem dotyczy wersji od nieznanej do mniejszej niż 10.1.0.
Oryginalny opis (angielski, źródło NVD)
The WP Recipe Maker plugin for WordPress is vulnerable to Arbitrary Shortcode Execution in all versions up to, and including, 10.8.1. The vulnerability exists because `WPRM_Metadata::sanitize_metadata()` recursively calls `do_shortcode()` on every scalar field of the recipe's structured metadata array — including the `reviewBody` field, which is populated verbatim from the `comment_content` of approved `wprm-comment-rating` comments — without sanitizing or stripping shortcode tokens before execution; the subsequent `wp_strip_all_tags()` and `strip_shortcodes()` calls operate only on the output string after execution has already fully occurred, providing no protection against server-side shortcode invocation. This makes it possible for unauthenticated attackers to execute arbitrary registered WordPress shortcodes server-side on every recipe page render, causing shortcode output — such as attachment captions, private post fields, or other data exposed by installed shortcodes — to be embedded in the page's JSON-LD `reviewBody` metadata and disclosed to all visitors who load the recipe page. Successful exploitation requires the attacker's rated comment to pass the site's comment approval threshold, either via auto-approval or moderator action, before the injected shortcode begins executing on page loads.
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS