WP Recipe Maker 插件超危漏洞预警（CVE-2026-89274）

漏洞速览

• 漏洞编号：CVE-2026-89274
• 风险评分：9.1（严重）
• 首次披露：2026-09-18
• 最近更新：2026-09-18
• 软件类型：插件
• 软件标识：wp-recipe-maker
• 受影响版本：<= 10.8.1
• 修复版本：10.8.2
• 是否已修复：是

漏洞详情

WordPress 的 WP Recipe Maker 插件在所有直至 10.8.1（含）以内的版本中存在任意短代码执行漏洞。该漏洞的成因是 WPRM_Metadata::sanitize_metadata() 递归对食谱结构化元数据数组的每个标量字段（包括 reviewBody 字段）调用 do_shortcode()，而该字段直接取自已批准的 wprm-comment-rating 评论的 comment_content，在执行前未对短代码标记进行清理或剥离；后续的 wp_strip_all_tags() 与 strip_shortcodes() 仅在短代码已完全执行后才作用于输出字符串，无法阻止服务器端的短代码调用。于是，未认证攻击者可以在每个食谱页面加载时服务器端执行任意已注册的 WordPress 短代码，导致诸如附件说明、私有文章字段或其他已安装短代码暴露的数据被嵌入页面的 JSON‑LD reviewBody 元数据并向所有访问该食谱页面的访客泄露。成功利用此漏洞的前提是攻击者提交的评分评论必须先通过站点的评论审核阈值（自动通过或版主批准），随后注入的短代码才会在页面加载时开始执行。

影响与风险

• 漏洞类型：Unauthenticated Arbitrary Shortcode Execution via Recipe Comment Content
• 风险说明：漏洞可能被利用以执行未授权操作，建议按官方修复方案立即升级并复核安全配置。
• 研究人员：Md. Moniruzzaman Prodhan (NomanProdhan) – Knight Squad

修复建议

1. 按官方建议执行修复：更新至 10.8.2 或更高已修复版本。
2. 复核 administrator/shop manager 等高权限账号与角色授权。
3. 排查近期插件安装/配置变更记录，确认无异常写入。
4. 建议配合 WAF 与登录审计，持续观察可疑请求。

延伸阅读

• Wordfence 原始漏洞记录
• WordPress 插件页面
• CVE 官方记录
• CVSS 3.1 评分说明
• CVE 官方记录
• CVE 官方记录