HDWebmobile Foto- & Video-Bewertungen

Ein WooCommerce-Plugin, das Kunden ermöglicht, Fotos und kurze Videos an ihre Produktbewertungen anzuhängen, die direkt in der Bewertungsliste auf der Produktseite angezeigt werden.

• WordPress.org: https://wordpress.org/plugins/hdwebmobile-photo-video-reviews/ (erste Einreichung ausstehend)
• Erfordert: WordPress 6.9+, WooCommerce, PHP 7.4+
• Lizenz: GPLv2 oder neuer

Warum dieses Plugin existiert

Ein konkurrierendes „Customer Reviews for WooCommerce“-Plugin enthielt eine eigenständige AJAX-Aktion zum Hochladen von Bewertungsfotos, die überhaupt keine Authentifizierungs-, Berechtigungs- oder Nonce-Prüfung durchführte (CVE-2026-12684), sodass jeder nicht angemeldete Besucher beliebige Bild-/Videodateien direkt in die WordPress-Mediathek hochladen konnte.

Dieses Plugin schließt diese gesamte Schwachstellenklasse konstruktionsbedingt, anstatt sie nur zu umgehen:

• Es existiert überhaupt kein eigenständiger Upload-Endpunkt – eine Datei wird nur als Nebeneffekt einer echten WordPress-Kommentarübermittlung verarbeitet, die über wp-comments-post.php, die eigene Kommentar-Pipeline von WordPress (Spam-Prüfungen, Akismet falls installiert, Moderation), läuft.
• Zusätzlich ist eine produktbezogene Nonce erforderlich, die mit dem Bewertungsformular generiert und verifiziert wird, bevor eine Datei angefasst wird.
• Medien werden nur an einen Kommentar angehängt, der als echte WooCommerce-Produktbewertung bestätigt wurde (der übergeordnete Beitrag des Kommentars ist tatsächlich ein product), niemals an andere Kommentartypen.
• Jeder Upload läuft über wp_handle_upload() – den eigenen geprüften Upload-Handler von WordPress – mit einer expliziten MIME-Allowlist für Bilder/Videos, niemals über ein selbstgebautes Datei-Verschieben.
• Wenn der Shop einen verifizierten Kauf für eine Bewertung verlangt, werden Medien nur für Bewerter angehängt, die das Produkt tatsächlich gekauft haben.

Funktionen

• Optionales Feld zum Hochladen von Fotos (JPG, PNG, GIF, WebP) und Videos (MP4, WebM, MOV), hinzugefügt zum nativen WooCommerce-Bewertungsformular
• Konfigurierbare maximale Dateianzahl pro Bewertung (Standard: 3) und separate Größenbegrenzungen für Fotos vs. Videos
• Hochgeladene Fotos werden als Thumbnail-Galerie angezeigt; Videos als eingebetteter HTML5-Player
• Video-Uploads können vollständig deaktiviert werden (nur Fotos)
• Einstellungs-Tab unter WooCommerce > HDWebmobile > Foto- & Video-Bewertungen

Entwicklung

Standardmäßige WordPress-Plugin-Struktur:

hdwebmobile-photo-video-reviews.php   Bootstrap
includes/class-hdpvr-activator.php    Aktivierung
includes/class-hdpvr-core.php         Orchestrator
includes/class-hdpvr-upload-handler.php  Sicheres Upload-Verarbeitung (der sicherheitskritische Teil)
includes/class-hdpvr-frontend.php     Bewertungsformular-Feld-Injektion + Medienanzeige
includes/class-hdpvr-admin.php        Einstellungen + Hub-Tab-Registrierung
includes/class-hdpvr-hub.php          Gemeinsame WooCommerce > HDWebmobile-Adminseite (pro-Plugin-namespaced Kopie)

Teil der HDWebmobile-Suite fokussierter, zweckgebundener WooCommerce-Plugins.

Lizenz

GPLv2 oder neuer. Siehe LICENSE.