CVE-2026-89274

总结

WordPress 的 WP Recipe Maker 插件在所有版本（包括 10.8.1）中均存在任意短代码执行漏洞。该漏洞的存在是因为 `WPRM_Metadata::sanitize_metadata()` 会递归地对食谱结构化元数据数组中的每个标量字段调用 `do_shortcode()`——包括 `reviewBody` 字段，该字段直接逐字取自已批准的 `wprm-comment-rating` 评论的 `comment_content`——且在执行前未对短代码标记进行清理或剥离；随后的 `wp_strip_all_tags()` 和 `strip_shortcodes()` 调用仅作用于执行已完全发生之后的输出字符串，对服务器端短代码调用不提供任何防护。这使得未经身份验证的攻击者能够在每次食谱页面渲染时于服务器端执行任意已注册的 WordPress 短代码，导致短代码输出——例如附件说明、私密文章字段或已安装短代码所暴露的其他数据——被嵌入页面的 JSON-LD `reviewBody` 元数据中，并泄露给所有加载该食谱页面的访问者。成功利用要求攻击者的评分评论通过站点的评论审核阈值，无论是通过自动批准还是版主操作，之后注入的短代码才会在页面加载时开始执行。

• CVE-2026-89274PoC

  Python PoC 扫描器和针对 CVE-2026-89274 的漏洞利用程序，该漏洞是 WP Recipe Maker <=10.8.1 中通过食谱评分评论和 JSON-LD 实现的未认证任意短代码执行漏洞。

• By-Poloss..-.CVE-2026-89274PoC

  针对 CVE-2026-89274 的 Python PoC 漏洞利用程序，该漏洞是 WordPress WP Recipe Maker <= 10.8.1 中通过食谱评论触发的未认证任意短代码执行漏洞。