CVE-2026-89274

Résumé

Le plugin WP Recipe Maker pour WordPress est vulnérable à l'exécution arbitraire de shortcodes dans toutes les versions jusqu'à la 10.8.1 incluse. La vulnérabilité existe parce que `WPRM_Metadata::sanitize_metadata()` appelle récursivement `do_shortcode()` sur chaque champ scalaire du tableau de métadonnées structurées de la recette — y compris le champ `reviewBody`, qui est rempli textuellement à partir du `comment_content` des commentaires `wprm-comment-rating` approuvés — sans assainir ni supprimer les jetons de shortcode avant l'exécution ; les appels ultérieurs à `wp_strip_all_tags()` et `strip_shortcodes()` n'opèrent que sur la chaîne de sortie après que l'exécution a déjà eu lieu, n'offrant aucune protection contre l'invocation de shortcodes côté serveur. Cela permet à des attaquants non authentifiés d'exécuter des shortcodes WordPress enregistrés arbitraires côté serveur à chaque rendu de page de recette, entraînant l'intégration de la sortie du shortcode — telle que les légendes de pièces jointes, les champs d'articles privés ou d'autres données exposées par les shortcodes installés — dans les métadonnées JSON-LD `reviewBody` de la page et leur divulgation à tous les visiteurs qui chargent la page de recette. L'exploitation réussie nécessite que le commentaire noté de l'attaquant franchisse le seuil d'approbation des commentaires du site, soit par auto-approbation, soit par l'action d'un modérateur, avant que le shortcode injecté ne commence à s'exécuter lors des chargements de page.

• CVE-2026-89274PoC

  Scanner PoC Python et exploit pour CVE-2026-89274, une faille d'exécution de shortcode arbitraire non authentifiée dans WP Recipe Maker <=10.8.1 via les commentaires de notation de recettes et JSON-LD.