CVE-2026-89274

Resumen

El plugin WP Recipe Maker para WordPress es vulnerable a la ejecución arbitraria de shortcodes en todas las versiones hasta la 10.8.1, inclusive. La vulnerabilidad existe porque `WPRM_Metadata::sanitize_metadata()` llama recursivamente a `do_shortcode()` en cada campo escalar del array de metadatos estructurados de la receta —incluido el campo `reviewBody`, que se rellena literalmente desde el `comment_content` de los comentarios `wprm-comment-rating` aprobados— sin sanear ni eliminar los tokens de shortcode antes de su ejecución; las llamadas posteriores a `wp_strip_all_tags()` y `strip_shortcodes()` operan únicamente sobre la cadena de salida después de que la ejecución ya se ha producido por completo, por lo que no ofrecen protección alguna contra la invocación de shortcodes en el lado del servidor. Esto hace posible que atacantes no autenticados ejecuten shortcodes arbitrarios registrados de WordPress en el lado del servidor en cada renderizado de la página de la receta, provocando que la salida del shortcode —como leyendas de adjuntos, campos de entradas privadas u otros datos expuestos por los shortcodes instalados— se incruste en los metadatos JSON-LD `reviewBody` de la página y se divulgue a todos los visitantes que carguen la página de la receta. La explotación exitosa requiere que el comentario valorado del atacante supere el umbral de aprobación de comentarios del sitio, ya sea mediante autoaprobación o por acción de un moderador, antes de que el shortcode inyectado comience a ejecutarse en las cargas de página.

Fuentes

• CVE-2026-89274-wp-recipe-maker-pocPoC

  Laboratorio de validación con Docker y PoC en Python para CVE-2026-89274, que demuestra la ejecución arbitraria de shortcodes en WP Recipe Maker <= 10.8.1 a través de rating-comment reviewBody.

• CVE-2026-89274