HDWebmobile Foto- & Video-Bewertungen

Ein WooCommerce-Plugin, das Kunden ermöglicht, Fotos und kurze Videos an ihre Produktbewertungen anzuhängen, die direkt in der Bewertungsliste auf der Produktseite angezeigt werden.

• WordPress.org: https://wordpress.org/plugins/hdwebmobile-photo-video-reviews/ (erste Einreichung ausstehend)
• Erfordert: WordPress 6.9+, WooCommerce, PHP 7.4+
• Lizenz: GPLv2 oder neuer

Warum dieses Plugin existiert

Ein konkurrierendes „Customer Reviews for WooCommerce“-Plugin enthielt eine eigenständige AJAX-Aktion zum Hochladen von Bewertungsfotos, die überhaupt keine Authentifizierungs-, Berechtigungs- oder Nonce-Prüfung durchführte (CVE-2026-12684), sodass jeder nicht angemeldete Besucher beliebige Bild-/Videodateien direkt in die WordPress-Mediathek hochladen konnte.

Dieses Plugin schließt diese gesamte Schwachstellenklasse konstruktionsbedingt, anstatt sie nur zu umgehen:

• Es existiert überhaupt kein eigenständiger Upload-Endpunkt – eine Datei wird nur als Nebeneffekt einer echten WordPress-Kommentarübermittlung verarbeitet, die über wp-comments-post.php, die eigene Kommentar-Pipeline von WordPress (Spam-Prüfungen, Akismet falls installiert, Moderation), läuft.
• Zusätzlich ist eine produktbezogene Nonce erforderlich, die mit dem Bewertungsformular generiert und verifiziert wird, bevor eine Datei angefasst wird.
• Medien werden nur an einen Kommentar angehängt, der als echte WooCommerce-Produktbewertung bestätigt wurde (der übergeordnete Beitrag des Kommentars ist tatsächlich ein ), niemals an andere Kommentartypen.