CVE-2026-89274

Zusammenfassung

Das WP Recipe Maker Plugin für WordPress ist in allen Versionen bis einschließlich 10.8.1 anfällig für Arbitrary Shortcode Execution. Die Schwachstelle besteht darin, dass `WPRM_Metadata::sanitize_metadata()` rekursiv `do_shortcode()` auf jedes skalare Feld des strukturierten Metadaten-Arrays des Rezepts aufruft — einschließlich des Feldes `reviewBody`, das wörtlich aus dem `comment_content` genehmigter `wprm-comment-rating`-Kommentare befüllt wird —, ohne Shortcode-Token vor der Ausführung zu bereinigen oder zu entfernen; die nachfolgenden Aufrufe von `wp_strip_all_tags()` und `strip_shortcodes()` wirken nur auf die Ausgabezeichenkette, nachdem die Ausführung bereits vollständig stattgefunden hat, und bieten keinen Schutz gegen serverseitige Shortcode-Aufrufe. Dadurch ist es nicht authentifizierten Angreifern möglich, beliebige registrierte WordPress-Shortcodes serverseitig bei jedem Rendern einer Rezeptseite auszuführen, wodurch Shortcode-Ausgaben — wie etwa Anhangsbeschriftungen, Felder privater Beiträge oder andere durch installierte Shortcodes offengelegte Daten — in die JSON-LD-`reviewBody`-Metadaten der Seite eingebettet und allen Besuchern offengelegt werden, die die Rezeptseite laden. Eine erfolgreiche Ausnutzung erfordert, dass der bewertete Kommentar des Angreifers die Kommentar-Genehmigungsschwelle der Website passiert, entweder durch automatische Genehmigung oder durch Moderator-Aktion, bevor der injizierte Shortcode bei Seitenaufrufen mit der Ausführung beginnt.

• CVE-2026-89274PoC

  Python-PoC-Scanner und Exploit für CVE-2026-89274, eine nicht authentifizierte Schwachstelle zur beliebigen Shortcode-Ausführung in WP Recipe Maker <=10.8.1 über Rezeptbewertungskommentare und JSON-LD.