Photo Reviews for WooCommerce: Unauthentifizierte gespeicherte DOM-basierte XSS

Zusammenfassung

Das WordPress-Plugin Photo Reviews for WooCommerce bereinigt beziehungsweise escaped den Parameter 'wcpr_image_upload_id' bis einschliesslich Version 1.2.30 nicht. Ein nicht angemeldeter Besucher kann ein Skript in den Comment Meta einer Bewertung speichern, das nicht durch wp_kses gefiltert wird, und es wird im Browser jeder Person ausgeführt, die die betroffene Bewertung anzeigt. Einzige Hürde ist ein Nonce, der in jedem Produktbewertungsformular ausgegeben wird; eine Authentifizierungs- oder Berechtigungsprüfung findet nicht statt.

Betroffen

• Plugin Photo Reviews for WooCommerce, alle Versionen bis einschliesslich 1.2.30
• CVSS 7.2 (v3.1, AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N)

Behoben in

Unbekannt. Es wurde keine Herstellermeldung oder kein Changelog mit einer korrigierten Version gefunden. Version 1.2.31 sollte für diese CVE nicht als sicher angenommen werden.

Umgehung

• Es wurde kein vom Hersteller veröffentlichter Workaround gefunden.
• Eine Web Application Firewall mit XSS-Regeln kann Ausnutzungsversuche allenfalls erschweren (Hinweis Drittanbieter, nicht durch den Hersteller bestätigt).
• Moderation von Bewertungen im wp-admin auf vertrauenswürdige Konten beschränken, bis ein Fix installiert ist.
• Bestehende Bewertungen und deren gespeicherte Bildmetadaten auf unerwartete Markup-Elemente prüfen.

Ausnutzung

• Nicht im CISA-KEV-Katalog aufgeführt.
• CISA SSVC: Exploitation none, Automatable no, Technical Impact partial.
• In den geprüften Quellen ist kein öffentlicher Proof-of-Concept oder Exploit bekannt.
• EPSS-Wert 0.00262 laut Vulners.

Unsere Empfehlung

• Prüfen, ob das Plugin installiert ist und welche Version aktiv ist.
• Falls öffentliche Bewertungen mit Foto-Upload genutzt werden, die Foto-Upload-Funktion für Bewertungen oder das Plugin deaktivieren, bis eine korrigierte Version bestätigt ist.
• Moderation von Bewertungen im wp-admin auf vertrauenswürdige Konten beschränken und Bewertungen mit Bildern auf unerwartetes Markup prüfen.
• Changelog auf WordPress.org und das Wordfence-Advisory auf eine offizielle korrigierte Version überwachen und diese zeitnah installieren.
• Priorität: mittel bis hoch für Shops mit öffentlichen Bewertungen.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence advisory www.wordfence.com
• WordPress.org plugin listing vi.wordpress.org
• VulDB CVE entry vuldb.com
• OpenCVE entry app.opencve.io
• Vulners Rapid7 entry (EPSS) vulners.com
• Plugin source frontend.php plugins.trac.wordpress.org

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 03.11.2026 05:47.