CVE-2026-89274

Resumo

O plugin WP Recipe Maker para WordPress é vulnerável à Execução Arbitrária de Shortcode em todas as versões até, e incluindo, a 10.8.1. A vulnerabilidade existe porque `WPRM_Metadata::sanitize_metadata()` chama recursivamente `do_shortcode()` em cada campo escalar do array de metadados estruturados da receita — incluindo o campo `reviewBody`, que é preenchido literalmente a partir do `comment_content` de comentários `wprm-comment-rating` aprovados — sem sanitizar ou remover tokens de shortcode antes da execução; as chamadas subsequentes a `wp_strip_all_tags()` e `strip_shortcodes()` operam apenas na string de saída após a execução já ter ocorrido completamente, não oferecendo proteção contra a invocação de shortcode no lado do servidor. Isso torna possível que atacantes não autenticados executem shortcodes arbitrários registrados do WordPress no lado do servidor a cada renderização de página de receita, fazendo com que a saída do shortcode — como legendas de anexos, campos de posts privados ou outros dados expostos por shortcodes instalados — seja incorporada nos metadados JSON-LD `reviewBody` da página e divulgada a todos os visitantes que carregam a página da receita. A exploração bem-sucedida requer que o comentário avaliado do atacante passe pelo limite de aprovação de comentários do site, seja por aprovação automática ou por ação de um moderador, antes que o shortcode injetado comece a ser executado nos carregamentos da página.

Fontes

• CVE-2026-89274-wp-recipe-maker-pocPoC

  Laboratório de validação Docker e PoC em Python para CVE-2026-89274, comprovando execução arbitrária de shortcode no WP Recipe Maker <= 10.8.1 via rating-comment reviewBody.

• CVE-2026-89274