CVE-2026-100161

Nome do Software Vulnerável e Versões Afetadas Photo Reviews for WooCommerce versões anteriores a 1.2.31

Descrição A sanitização insuficiente de entrada e a escape inadequada de saída permitem que atacantes não autenticados realizem Cross-Site Scripting (XSS) Baseado em DOM Armazenado. Ao explorar o parâmetro wcpr image upload id, um atacante pode injetar scripts web arbitrários em metadados de comentários, que não são processados pelo wp kses (uma função do WordPress usada para sanitizar HTML). O ataque é facilitado pelo nonce wcpr image upload publicamente disponível em formulários de avaliação de produtos, pois o sistema não realiza verificações de capacidade, autenticação ou propriedade de anexo. Os scripts injetados são executados quando um usuário visualiza a avaliação afetada no frontend.

Recomendações Atualize para uma versão posterior a 1.2.30.