CVE-2026-89274

ملخص

إضافة WP Recipe Maker لـ WordPress معرّضة لتنفيذ Shortcode عشوائي في جميع الإصدارات حتى الإصدار 10.8.1 ضمناً. توجد الثغرة لأن `WPRM_Metadata::sanitize_metadata()` تستدعي `do_shortcode()` بشكل تعاودي على كل حقل scalar في مصفوفة البيانات الوصفية المهيكلة للوصفة — بما في ذلك حقل `reviewBody`، الذي يُملأ حرفياً من `comment_content` الخاص بتعليقات `wprm-comment-rating` المعتمدة — دون تعقيم أو إزالة رموز shortcode قبل التنفيذ؛ إذ تعمل استدعاءات `wp_strip_all_tags()` و`strip_shortcodes()` اللاحقة فقط على سلسلة الإخراج بعد أن يكون التنفيذ قد اكتمل بالفعل، ما لا يوفر أي حماية ضد استدعاء shortcode من جانب الخادم. وهذا يجعل من الممكن للمهاجمين غير المصادق عليهم تنفيذ أي shortcode مسجل في WordPress من جانب الخادم عند كل عرض لصفحة الوصفة، ما يؤدي إلى تضمين مخرجات shortcode — مثل تسميات المرفقات التوضيحية، أو حقول المقالات الخاصة، أو أي بيانات أخرى تكشفها الإضافات المثبتة — في بيانات JSON-LD الوصفية `reviewBody` الخاصة بالصفحة وكشفها لجميع الزوار الذين يحمّلون صفحة الوصفة. يتطلب الاستغلال الناجح أن يجتاز التعليق المُقيَّم الخاص بالمهاجم حد الموافقة على التعليقات في الموقع، إما عبر الموافقة التلقائية أو عبر إجراء من المشرف، قبل أن يبدأ shortcode المحقون بالتنفيذ عند تحميل الصفحات.

المصادر

• CVE-2026-89274-wp-recipe-maker-pocPoC

  مختبر تحقق Docker و Python PoC لـ CVE-2026-89274، يثبت تنفيذ shortcode عشوائي في WP Recipe Maker <= 10.8.1 عبر rating-comment reviewBody.

• CVE-2026-89274PoC

  ماسح PoC بلغة Python واستغلال لـ CVE-2026-89274، وهي ثغرة تنفيذ اختصار عشوائي دون مصادقة في WP Recipe Maker <=10.8.1 عبر تعليقات تقييم الوصفات وJSON-LD.