漏洞速览
- 漏洞编号：
CVE-2026-89274 - 风险评分：
9.1（严重） - 首次披露：2026-09-18
- 最近更新：2026-09-18
- 软件类型：插件
- 软件标识：
wp-recipe-maker - 受影响版本：<= 10.8.1
- 修复版本：10.8.2
- 是否已修复：是
漏洞详情
WP Recipe Maker 插件存在任意短代码执行漏洞，影响 WordPress 10.8.1 及以下所有版本。问题根源在于 WPRM_Metadata::sanitize_metadata() 会对配方结构化元数据数组中的每一个标量字段递归调用 do_shortcode()，其中包括 reviewBody 字段——该字段直接以 wprm-comment-rating 已审核评论的 comment_content 内容填充，未做任何清理或短代码标记剥离即直接执行；后续的 wp_strip_all_tags() 和 strip_shortcodes() 仅在短代码已完整执行完毕后才对输出字符串进行处理，无法防御服务端短代码调用。这使得未认证攻击者能够在每个配方页面渲染时，以服务端方式执行 WordPress 中任意已注册的短代码，导致短代码输出（如附件说明、私有文章字段或其他已安装短代码暴露的数据）被嵌入页面 JSON-LD 的 reviewBody 元数据中，并向所有访问该配方页面的访客泄露。成功利用此漏洞的前提是攻击者提交的评价评论需通过站点的评论审核阈值（无论是自动通过还是版主操作），随后注入的短代码才会在页面加载时开始执行。
影响与风险
- 漏洞类型：Unauthenticated Arbitrary Shortcode Execution via Recipe Comment Content
- 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
- 研究人员：Md. Moniruzzaman Prodhan (NomanProdhan) – Knight Squad
修复建议
- 按官方建议执行修复：更新至 10.8.2 或更高已修复版本。
- 复核
administrator/shop manager等高权限账号与角色授权。 - 排查近期插件安装/配置变更记录，确认无异常写入。
- 建议配合 WAF 与登录审计，持续观察可疑请求。
