Photo Reviews for WooCommerce: Unauthentifizierte Löschung beliebiger Beiträge

Zusammenfassung

Das WordPress-Plugin Photo Reviews for WooCommerce speichert vom Angreifer gelieferte Post-IDs zusammen mit Kundenbewertungen und prüft nicht, ob sie dem Absender gehören. Wenn ein Administrator die Bewertung später löscht oder WordPress den Kommentar-Papierkorb nach 30 Tagen leert, entfernt das Plugin jede gespeicherte Post-ID dauerhaft. Ein nicht angemeldeter Besucher kann so den Verlust von Beiträgen, Seiten, Produkten oder Medienanhängen verursachen, die Lücke legt jedoch keine vertraulichen Daten offen. Der Angriff setzt voraus, dass eine Bewertung gelöscht wird, was bei der üblichen Moderation regelmässig geschieht.

Betroffen

• Photo Reviews for WooCommerce (WordPress-Plugin) bis und mit Version 1.2.30

Behoben in

• Version 1.2.31 (veröffentlicht am 29.09.2026) laut Changelog auf WordPress.org
• Neuere Versionen (möglicherweise 1.2.32) könnten existieren; aktuelle Version auf WordPress.org prüfen

Umgehung

• Kein Workaround des Herstellers bekannt. Bis zur Aktualisierung das Plugin oder die öffentliche Bewertungsabgabe vorübergehend deaktivieren und den Zugriff auf die Bewertungsmoderation einschränken (allgemeine Empfehlung eines Drittanbieters).
• Vor Änderungen ein aktuelles Backup erstellen.

Ausnutzung

• CISA SSVC: Exploitation none, Automatable no, Technical Impact partial.
• Laut einem Aggregator nicht im CISA-KEV-Katalog; EPSS unbekannt.
• Kein öffentlicher Proof of Concept gefunden; dies beweist jedoch nicht, dass keiner existiert.
• Verwandte CVE-2026-110251 (gleicher Parameter, meldet Dateilöschung bis 1.2.31) ist nicht als ausgenutzt bekannt.

Unsere Empfehlung

• Photo Reviews for WooCommerce mindestens auf Version 1.2.31 aktualisieren und nach einer neueren Version suchen.
• Seit der Installation auf unerwartet gelöschte Produkte, Seiten und Medien prüfen.
• Sicherstellen, dass Backups und Wiederherstellungsverfahren funktionieren.
• Prüfen, ob öffentliche Bewertungsabgaben erforderlich sind.
• CVE-2026-110251 bis zu einem Herstellerfix verfolgen, da 1.2.31 den Parameter möglicherweise nicht vollständig absichert.

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• Wordfence threat intelligence record www.wordfence.com
• WordPress.org plugin listing (changelog) wordpress.org
• Plugin changeset on WordPress Trac plugins.trac.wordpress.org
• Vulnerable code in frontend/frontend.php plugins.trac.wordpress.org
• Vulnerable code in admin/admin.php plugins.trac.wordpress.org
• VulDB CVE-2026-101923 vuldb.com
• Related CVE-2026-110251 (VulDB) vuldb.com
• Positive Technologies PT-2026-104500 vulners.com

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 01.11.2026 20:56.