CVE-2026-89055
KrytyczneCVSS 9.1Streszczenie
Wtyczka Customer Reviews for WooCommerce dla WordPressa (do wersji 5.120.0 włącznie) jest podatna na obejście autoryzacji z powodu nieprawidłowej weryfikacji uprawnień użytkownika. Umożliwia to nieuwierzytelnionym atakującym trwałe usuwanie dowolnych załączników z Biblioteki mediów (w tym obrazów produktów, logotypów i dokumentów administratora) poprzez wstrzyknięcie ich identyfikatorów do recenzji, która następnie zostaje przeniesiona do kosza i usunięta. Wykorzystanie wymaga publicznego linku do formularza recenzji (13-znakowy formId), który ujawnia nonce potrzebny do wywołania akcji bez konta WordPress.
Ocena ryzyka
Atakujący może usunąć krytyczne pliki multimedialne, takie jak zdjęcia produktów czy logotypy, co może prowadzić do utraty danych i zakłócenia działania sklepu internetowego.
Rekomendacja
Zaktualizować wtyczkę Customer Reviews for WooCommerce do wersji nowszej niż 5.120.0. Jeśli aktualizacja nie jest możliwa, ograniczyć dostęp do publicznych formularzy recenzji lub wdrożyć dodatkową weryfikację uprawnień.
Inne podatności w Customer Reviews for WooCommerce
Zobacz wszystkie- CVE-2026-14942Nieznane
To CVE zostało odrzucone. ID zostało przypisane do zgłoszonej podatności w wtyczce Customer Reviews for WooCommerce WordPress, ale nigdy nie zostało opublikowane. Zgłoszenie zostało wycofane: warunek wstępny, na którym polegało, czyli uzyskanie przez atakującego identyfikatora formularza recenzji należącego do klienta, do którego nie ma już dostępu, nie mógł zostać wykazany. Nie wydano żadnego biuletynu dla tego ID.
- CVE-2026-76585Wysokie
Wtyczka Customer Reviews for WooCommerce dla WordPressa przed wersją 5.118.0 nie sanityzuje i nie escapuje treści recenzji klientów otrzymywanych przez jeden z jej endpointów, co może pozwolić nieuwierzytelnionym użytkownikom na przeprowadzanie ataków Stored Cross-Site Scripting.
- CVE-2026-6176Wysokie
Wtyczka Customer Reviews for WooCommerce dla WordPressa jest podatna na Stored Cross-Site Scripting (XSS) w wersjach do 5.106.0 włącznie. Podatność wynika z niedostatecznej sanityzacji wejścia i braku odpowiedniego escapowania danych wyjściowych w treści komentarzy recenzji. Wtyczka przyjmuje recenzje od nieuwierzytelnionych użytkowników przez akcję AJAX 'cr_local_forms_submit' bez sanityzacji treści HTML przed zapisem, a następnie renderuje je na stronach produktów bez odpowiedniego escapowania.
- CVE-2026-14941Średnie
Wtyczka Customer Reviews for WooCommerce dla WordPressa przed wersją 5.116.0 nie przeprowadza kontroli nonce ani uprawnień na kilku akcjach AJAX związanych z ustawieniami, co pozwala użytkownikom z minimalnymi uprawnieniami, takim jak Subscriber, na wywoływanie procedur ustawień administracyjnych, aktualizowanie opcji wtyczki oraz ujawnianie konfiguracji sklepu.
- CVE-2026-12684Średnie
Wtyczka Customer Reviews for WooCommerce dla WordPress przed wersją 5.113.0 nie weryfikuje autoryzacji, uprawnień ani tokena nonce w jednej z akcji AJAX odpowiedzialnej za przesyłanie plików multimedialnych. Umożliwia to niezalogowanym użytkownikom przesyłanie plików (ograniczonych do dozwolonych obrazów i filmów) do biblioteki multimediów oraz tworzenie wpisów załączników, co prowadzi do zaśmiecania biblioteki i wyczerpania miejsca na dysku.
- CVE-2026-13771Średnie
Wtyczka Customer Reviews for WooCommerce dla WordPressa jest podatna na przechowywany atak XSS poprzez atrybut 'color' w shortcode'u. Podatność występuje we wszystkich wersjach do 5.113.0 włącznie z powodu niedostatecznego oczyszczania danych wejściowych i braku escapowania wyjścia.
Oryginalny opis (angielski, źródło NVD)
The Customer Reviews for WooCommerce plugin for WordPress is vulnerable to authorization bypass in all versions up to, and including, 5.120.0. This is due to the plugin not properly verifying that a user is authorized to perform an action. This makes it possible for unauthenticated attackers to permanently delete arbitrary attachments from the Media Library — including administrator-owned product images, logos, and documents — by injecting their IDs into a review that is later trashed and purged. Exploitation requires a public review-form link (a 13-hex formId distributed to customers via e-mail), which exposes the nonce needed to reach the handler without any WordPress account or session.