CVE-2026-89274

概要

WordPress用のWP Recipe Makerプラグインは、10.8.1以前のすべてのバージョンにおいて、任意のショートコード実行に対して脆弱です。この脆弱性は、`WPRM_Metadata::sanitize_metadata()` がレシピの構造化メタデータ配列のすべてのスカラーフィールドに対して `do_shortcode()` を再帰的に呼び出すことに起因します。これには `reviewBody` フィールドも含まれ、このフィールドは承認された `wprm-comment-rating` コメントの `comment_content` からそのまま格納されますが、実行前にショートコードトークンをサニタイズまたは除去することはありません。後続の `wp_strip_all_tags()` および `strip_shortcodes()` の呼び出しは、実行が完全に終了した後の出力文字列に対してのみ動作するため、サーバーサイドでのショートコード呼び出しに対する保護は一切提供されません。これにより、認証されていない攻撃者が、レシピページのレンダリングごとにサーバーサイドで任意の登録済みWordPressショートコードを実行することが可能となり、ショートコードの出力（添付ファイルのキャプション、非公開投稿のフィールド、その他インストールされたショートコードによって公開されるデータなど）がページのJSON-LD `reviewBody` メタデータに埋め込まれ、レシピページを読み込むすべての訪問者に開示されます。悪用を成功させるには、攻撃者の評価コメントが、自動承認またはモデレーターの操作によってサイトのコメント承認しきい値を通過してから、注入されたショートコードがページ読み込み時に実行され始める必要があります。

ソース

• CVE-2026-89274-wp-recipe-maker-pocPoC

  CVE-2026-89274 の Docker 検証ラボおよび Python PoC。WP Recipe Maker <= 10.8.1 において、rating-comment の reviewBody を介した任意のショートコード実行を実証する。

• CVE-2026-89274PoC

  Python製のPoCスキャナーおよびエクスプロイト。CVE-2026-89274 は、WP Recipe Maker <=10.8.1 における、レシピ評価コメントと JSON-LD を介した未認証の任意ショートコード実行脆弱性です。

• By-Poloss..-.CVE-2026-89274PoC