HDWebmobile 写真・動画レビュー

顧客が商品レビューに写真や短い動画を添付できるWooCommerceプラグインで、商品ページのレビュー一覧に直接表示されます。

• WordPress.org: https://wordpress.org/plugins/hdwebmobile-photo-video-reviews/ (初回提出待ち)
• 必要環境: WordPress 6.9+、WooCommerce、PHP 7.4+
• ライセンス: GPLv2 以降

このプラグインが存在する理由

競合する「Customer Reviews for WooCommerce」プラグインは、レビュー写真をアップロードするためのスタンドアロンなAJAXアクションを提供していましたが、認証・権限・nonceチェックが一切行われていませんでした（CVE-2026-12684）。これにより、認証されていない訪問者であれば誰でも、任意の画像・動画ファイルをWordPressメディアライブラリに直接アップロードできてしまいました。

このプラグインは、そのような脆弱性のクラス全体を、パッチを当てるのではなく設計上閉じています：

• スタンドアロンなアップロードエンドポイントは一切存在しません — ファイルは、wp-comments-post.php を通じた正規のWordPressコメント送信の副作用としてのみ処理され、WordPress自身のコメントパイプライン（スパムチェック、インストールされていればAkismet、モデレーション）を経由します。
• さらに、レビューフォームとともに生成され、ファイルに触れる前に検証される商品スコープのnonceが必要です。
• メディアは、正規のWooCommerce商品レビューであると確認されたコメントにのみ添付されます（コメントの親投稿が実際に product であること）、他のコメントタイプには一切添付されません。
• すべてのアップロードは、wp_handle_upload() — WordPress自身の検証済みアップロードハンドラ — を経由し、明示的な画像・動画のMIME許可リスト付きで処理されます。手書きのファイル移動処理は一切使用しません。
• ストアがレビュー投稿に購入済み確認を要求している場合、メディアは実際に商品を購入したレビュアーにのみ添付されます。

機能